Accountability e GDPR: quando il titolare risponde davvero

Le origini del principio di accountability nella regolazione europea sulla protezione dei dati personali si rinvengono nella Direttiva 95/46/CE, il cui art. 6 par. 2 demandava al titolare del trattamento (responsabile, secondo la terminologia europea di allora), di garantire il rispetto dei principi inerenti al trattamento.

Stante il tenore letterale della norma europea che imponeva al titolare il rispetto della direttiva, il legislatore italiano che ha recepito la norma comunitaria non ha propriamente dato corpo al principio in esame nell’accezione attuale, ma ha optato per un meccanismo di controllo preventivo sulla correttezza dei trattamenti affidato all’Autorità Garante per la Protezione dei Dati personali^[1].

Le origini del principio di accountability nel GDPR

Al fine di dare piena attuazione alla protezione dei dati personali, già il Gruppo di Lavoro sull’art. 29 nel 2010 caldeggiava l’introduzione di un principio di responsabilità vincolante, in grado di imporre esplicitamente ai titolari del trattamento di attuare misure appropriate ed efficaci per dare applicazione ai principi e agli obblighi della direttiva, dandone dimostrazione dell’osservanza su richiesta^[2].

Il WP 29 abbracciava già all’epoca la crasi che risultava dalle parole che compongono il termine composto accountability: il verbo “to account”, traducibile in italiano come dar conto, e il sostantivo “ability”, che può essere inteso come essere in grado di^[3]. Tuttavia tali traduzioni esprimono solo parzialmente il concetto, poiché rendere conto ed essere in grado di non corrispondono, neanche sommati, a responsabilità^[4], che oggi costituisce il fondamento architettonico del Regolamento (UE) 679/2016. Il concetto sembra intraducibile in lingua italiana, e pertanto si impone l’utilizzo della locuzione inglese^[5], l’unica in grado di esprimere l’unicità della nozione.

Il principio di accountability impone al titolare del trattamento non solo di predisporre una governance conforme ai principi in materia di protezione dei dati personali, ma anche di essere in grado di giustificare le scelte organizzative adottate e di rispondere delle eventuali violazioni^[6].

Il presente contributo intende evidenziare che l’obbligo di cui all’art. 24 GDPR debba essere qualificato come obbligazione di mezzi, con conseguente esclusione di automatismi sanzionatori, evidenziando al contempo le criticità derivanti dall’indeterminatezza dello standard di adeguatezza richiesto al titolare del trattamento.

Accountability nel GDPR e responsabilità del titolare

La responsabilità del titolare del trattamento è positivizzata nella rubrica dell’art. 24 del Regolamento (UE) 679/2016, noto come GDPR, secondo cui “tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.

Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.

L’adesione ai codici di condotta di cui all’articolo 40 o a un meccanismo di certificazione di cui all’articolo 42 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento”.

Il concetto di responsabilizzazione prevede dunque che al titolare del trattamento sia affidato il compito di stabilire in modo indipendente le modalità e le garanzie del trattamento dei dati, onerando al contempo tale soggetto di dimostrare l’adozione di misure tecniche ed organizzative adeguate ed efficaci^[7].

L’art. 24 GDPR è norma assai ampia: se da una parte conferisce al titolare del trattamento la libertà di scegliere quali palinsesti organizzativi e operativi adottare, dall’altro non prevede un elenco di “misure adeguate”, rendendo necessarie valutazioni caso per caso^[8].

È stato messo in luce che l’accountability, quale strumento atto a orientare una riconosciuta (o concessa?) autonomia^[9], è un meccanismo a due livelli: il primo consistente in requisiti di base positivizzati, e il secondo in conformità volontarie^[10], di cui sono un esempio i Codici di condotta contemplati dall’art. 24 par. 3 GDPR. Il Regolamento, tuttavia, positivizza solo l’obbligo di adottare misure adeguate, senza elenchi o riferimenti specifici^[11] su quali misure debbano essere preferite^[12].

Pertanto, se l’assenza di misure e di modelli di governance dei dati personali trattati può estrinsecamente essere fonte di responsabilità per il titolare, la liability non può al converso considerarsi automatica qualora siano state previste misure tecniche e organizzative, dovendosi in questo caso giudicare l’adeguatezza delle stesse, con doverosa precisazione che non è richiesto che dette misure confluiscano in procedure o protocolli scritti.

L’Autorità di controllo viene quindi chiamata a compiere uno sforzo interpretativo della norma in relazione ai singoli trattamenti che esamina, non potendo limitarsi a raffrontare la realtà concreta con il dato normativo, ma dovendo approfondire la ratio delle scelte adottate dal titolare^[13].

Il rapporto tra gli articoli 24 e 32 del GDPR

Tali considerazioni valgono tanto per le misure tecniche e organizzative finalizzate a garantire la conformità al Regolamento ex art. 24 GDPR tanto per le misure finalizzate alla sicurezza dei dati ex art. 32 GDPR. Difatti la previsione dell’art. 32 non è altro che una declinazione del generale principio già enunciato dall’art. 24^[14]: si impone pertanto una lettura in combinato disposto delle menzionate disposizioni, le cui previsioni sono riprese anche dall’art. 5 par. 2 GDPR^[15].

Gli articoli 24 e 32 sono incentrati sul criterio dell’adeguatezza, senza però esplicitare se l’adeguatezza debba essere intesa come strumentale al raggiungimento di un obiettivo (impedire violazioni dei dati personali o dei diritti dell’interessato inerenti alla protezione dei dati) ovvero quale standard di comportamento. In altre parole, la lettera delle disposizioni non chiarisce se l’obbligo di porre in essere misure adeguate sia un’obbligazione di risultato ovvero di mezzi.

La questione sembra essere stata risolta dalla recente giurisprudenza, di cui si impone in questa sede un’analisi.

La giurisprudenza sull’accountability come obbligazione di mezzi

La prima sentenza che merita, in questa sede, di essere ricordata risale al 15 febbraio 2022. In tale data la Corte Suprema Spagnola, Terza Sezione del Tribunale, con la sentenza n. 188/2022 ha affrontato il tema della natura dell’obbligo di adottare le misure tecniche e organizzative per garantire la sicurezza dei dati personali, prendendo posizione sulla sua riconducibilità a un’obbligazione di mezzi o di risultato^[16].

La Corte Suprema spagnola e l’obbligazione di mezzi

La vicenda riguardava un rivenditore ufficiale di un importante operatore telefonico che gestiva le richieste di finanziamento dei clienti tramite un applicativo, il quale richiedeva l’inserimento di un indirizzo e‑mail quale campo obbligatorio. In almeno 14 pratiche, l’addetta, priva del recapito del cliente, aveva inserito un indirizzo ritenuto fittizio al solo fine di superare il vincolo tecnico. L’indirizzo inserito corrispondeva però a una casella reale, riferibile a un terzo estraneo. In assenza di adeguati controlli di validazione sull’e‑mail, il sistema ha inviato a quella casella i contratti e le comunicazioni generate, determinando l’accesso non autorizzato del terzo ai dati personali dei clienti (identificativi, economici e bancari)^[17].

La società viene sanzionata dall’Autorità di Protezione Dati Spagnola, ma impugna il Provvedimento. Nel giudizio di ultima istanza, la Corte spagnola statuisce che l’obbligo di adottare misure necessarie per garantire la sicurezza dei dati personali non può essere considerato un obbligo di risultato, poiché ciò implicherebbe la sussistenza di una responsabilità indipendentemente dalle misure adottate e dall’attività svolta dal titolare o dal responsabile del trattamento^[18]. Se l’obbligo in esame fosse qualificato come “di risultato”, il titolare risponderebbe di qualsiasi esito dannoso dovuto a guasti o cortocircuiti dei sistemi di sicurezza indipendentemente dalle cause che hanno generato il malfunzionamento;

poiché invece l’obbligo deve qualificarsi come “di mezzi”, viene imposto soltanto di stabilire misure adeguate e di attuarle con ragionevole diligenza, senza tuttavia garantire un risultato^[19].

Tale impostazione trova riscontro anche nelle successive decisioni dell’Autorità per la Protezione dei Dati Personali spagnola^[20], nonché nella recente giurisprudenza della Corte di Giustizia dell’Unione Europea, di seguito analizzata.

Le pronunce della CGUE sul rischio e sulle misure adeguate

Con due pronunce consecutive, i giudici di Lussemburgo hanno chiarito che il titolare del trattamento non è tenuto ad impedire qualsiasi danno ai dati personali. Nella sentenza resa nella causa C-340/21, la CGUE ha statuito che “l’obbligo di dimostrare l’adeguatezza delle misure [tecniche e organizzative] non avrebbe senso se il titolare del trattamento fosse obbligato ad impedire qualsiasi danno di detti dati^[21]”.

Le misure tecniche e organizzative hanno la funzione di evitare violazioni dei dati personali solo per quanto possibile^[22]: infatti il Regolamento istituisce un regime di gestione dei rischi, ma esso non pretende affatto di eliminare ogni rischio di violazione dei dati personali^[23].

La pronuncia appena menzionata è stata ripresa dalla stessa Corte di Giustizia anche nella sentenza resa nella causa C-687/21, secondo cui “dalla lettura combinata di detti articoli 24 e 32 con l’articolo 5, paragrafo 2 […] letti alla luce dei considerando 74 e 76 GDPR,[ da cui] risulta, in particolare, che il titolare del trattamento è tenuto a limitare i rischi di violazione dei dati personali, e non ad impedire qualsiasi violazione di questi ultimi^[24]”.

Seguendo tale interpretazione, entrambe le sentenze arrivano a stabilire che secondo l’interpretazione degli “articoli 24 e 32 del RGPD […] una divulgazione non autorizzata di dati personali o un accesso non autorizzato a tali dati da parte di «terzi», ai sensi dell’articolo 4, punto 10, di tale regolamento, non sono sufficienti, di per sé, per ritenere che le misure tecniche e organizzative attuate dal titolare del trattamento in questione non fossero «adeguate», ai sensi degli articoli 24 e 32^[25]”.

Sembra quindi essere stato definitivamente destituito di fondamento il richiamo a un’obbligazione di risultato in capo al titolare del trattamento (e conseguentemente a una possibile responsabilità oggettiva), a favore dell’interpretazione dell’accountability come obbligazione di mezzi.

La menzionata giurisprudenza europea ha già prodotto i suoi effetti nell’orientare le decisioni dei giudici nazionali: il Bundessozialgericht (BSG o Corte Sociale Federale Tedesca), nella sentenza del 6 marzo 2024, case no. B 6 KA 23/22 R, ha affermato che “non si postula che il GDPR elimini il rischio di violazioni della protezione dei dati personali, ma solo che si prevengano le violazioni per quanto possibile^[26]”.

Misure adeguate e governance nel principio di accountability

La giurisprudenza fin qui analizzata si focalizza sulle misure di sicurezza.

Sia l’art. 24 GDPR sia l’art. 32 GDPR richiedono al titolare del trattamento l’adozione di misure adeguate, sebbene le prime siano finalizzate a garantire il rispetto del Regolamento e le seconde a garantire un livello di sicurezza adeguato al rischio^[27]. Sussiste tra le due disposizioni un evidente parallelismo: entrambe richiedono una certa adeguatezza, che il titolare deve essere in grado di dimostrare; qualora possano dirsi attinenti ai casi concreti, suggeriscono degli accorgimenti da adottare (policy interne nel caso dell’art. 24, pseudonimizzazione e cifratura nel caso dell’art. 32); concedono al titolare la possibilità di aderire a un codice di condotta o a un meccanismo di certificazione al fine di poter dimostrare l’adeguatezza delle scelte operate.

Date le analogie formulate dal legislatore europeo, le considerazioni svolte intorno all’art. 32 GDPR possono valere anche per l’art. 24 GDPR. Come evidenziato dalla CGUE nella già menzionata sentenza resa causa C-340/21, l’obbligo posto dall’art. 24 GDPR di adottare e dimostrare l’adeguatezza delle misure adottate non implica che il titolare debba garantire l’assenza assoluta di qualsiasi violazione, giacché tale obbligo perderebbe di significato se fosse richiesto di prevenire ogni possibile evento lesivo^[28]. È pur vero che la lettera dell’art. 24 richiede una governance che possa garantire il rispetto del Regolamento, ma ciò non legittima l’equivalenza tra danno agli interessati e inadeguatezza della governance.

Interpretata diversamente la norma introdurrebbe un’ipotesi di responsabilità oggettiva, secondo cui al verificarsi di un danno consegue l’automatica declaratoria di inadeguatezza della governance del titolare. Una siffatta interpretazione contrasterebbe non solo con il diritto italiano, che richiede quantomeno l’elemento soggettivo della colpa per l’irrogazione delle sanzioni amministrative^[29], ma anche con la giurisprudenza della Corte EDU delle celebri cause Engel e Menarini^[30].

Gli stessi giudici di Lussemburgo sottolineano, nelle sentenze in rassegna, che è lo stesso concetto di adeguatezza che depone nel senso di dare rilevanza soltanto alle misure concretamente esigibili, e non a quelle astrattamente possibili^[31].

Non è chiaro, però, cosa sia concretamente esigibile. La norma europea richiede una certa adeguatezza, quindi uno standard comportamentale di diligenza, che tuttavia non sembra perimetrato, né dalla giurisprudenza, né tantomeno dal diritto positivo o da strumenti normativi di soft law.

Anche i Provvedimenti delle Autorità di Protezione dei Dati Personali non sembrano fare chiarezza sul punto.

Di seguito si analizzano due provvedimenti che avvalorano le tesi fin ora sostenute: l’accountability impone un obbligo di diligenza al titolare, poiché il Regolamento Generale sulla Protezione dei Dati non pretende di eliminare ogni violazione dei dati personali, ma solo di prevenirle per quanto possibile^[32].

L’accountability nei provvedimenti delle Autorità privacy

Si registra un recente provvedimento del Garante per la Protezione dei Dati Personali italiano nel quale, nonostante l’accertamento di una violazione, non è stata riscontrata l’inadeguatezza delle misure tecniche e organizzative. Con il Provvedimento del 17 luglio 2024, registro dei provvedimenti n. 441 del 17 luglio 2024, doc. web n. 10070252^[33], l’Autorità italiana ha definito il procedimento contro Avis Budget Italia s.p.a. senza l’adozione di misure correttive o sanzionatorie. Nel caso di specie, due clienti di Avis, società di noleggio auto, avevano ricevuto due contestazioni per violazione del Codice della Strada, nonostante non fossero in Italia nel periodo di commissione degli illeciti.

Nel corso dell’istruttoria è emerso che la causa della violazione fosse da rinvenire in un errore umano occasionale, che aveva comportato un errato inserimento dei dati dei clienti dei sistemi della società. Riscontrato l’errore, il titolare del trattamento aveva immediatamente provveduto alla rettifica dei dati dei clienti, nonché aggiornato, nel corso del procedimento, le misure tecniche e organizzative impiegate, con particolare riguardo alla rilevazione e segnalazione di anomalie^[34], in ottemperanza all’obbligo di riesaminare e aggiornare le misure adottate qualora necessario ex art. 24, par. 1, secondo capoverso, GDPR.

Considerato che la violazione ha comportato un basso livello di rischio per i diritti e le libertà degli interessati, l’Autorità ha concluso il procedimento invitando il titolare ad una costante verifica dell’adeguatezza delle misure tecniche e amministrative relative alle operazioni di trattamento dei dati (inclusa l’adeguata formazione del personale) per evitare (o individuare tempestivamente) errori simili in futuro^[35].

Il caso Avis e la natura dell’obbligo

In nessun passaggio del Provvedimento si rinviene, né si desume, una statuizione sull’inadeguatezza della governance della società.

Il caso mostra come le misure tecniche e organizzative adottate dal titolare possano essere considerate adeguate anche quando si verifica una violazione: tale Provvedimento sembra confermare pertanto anche la natura di obbligazione di mezzi dell’art. 24 GDPR.

TikTok e il principio di accountability nei trasferimenti

Un ulteriore conferma è rinvenibile anche nel Provvedimento dell’Autorità irlandese (DPC) del 30 aprile 2025 contro TikTok Technology Limited^[36]. Sebbene la sanzione non sia stata basata su una violazione dell’art. 24 GDPR, tale norma ha avuto comunque un rilievo nel Provvedimento. Nell’ambito di un trasferimento transfrontaliero di dati personali ex artt. 44 e ss. GDPR, l’Autorità infatti ha lamentato a TikTok di non aver saggiato correttamente il livello di protezione della Cina nell’adozione di clausole contrattuali standard ex art.

46 GDPR (SCC – Standard Contract Clauses), sull’assunto che “il responsabile del trattamento deve anche essere in grado di dimostrare che i trasferimenti garantiscono un livello di protezione sostanzialmente equivalente in conformità con i propri obblighi di responsabilità^[37]”, letti in combinato disposto con il Capo V GDPR^[38]. In tale connubio, l’accountability del titolare o del responsabile si sostanzia anche nella necessaria e completa valutazione della legislazione e delle prassi del Paese terzo al fine di verificare se le garanzie adeguate e le misure supplementari siano in grado di fornire un livello di protezione sostanzialmente equivalente^[39]: questa verifica è,

secondo l’Autorità irlandese, un obbligo esclusivo del titolare o del responsabile, e mai può incombere sull’Autorità, a pena di una sostanziale stortura del principio di accountability^[40].

L’Autorità irlandese richiede^[41] quindi a TikTok non solo di verificare, ma anche di garantire che i dati personali oggetto di trasferimento godano di una protezione essenzialmente equivalente a quella offerta dal GDPR^[42], con la precisazione che la garanzia di protezione dei diritti non si estende anche a pretendere che le clausole contrattuali standard con cui si effettua il trasferimento transfrontaliero non siano mai violate. La stessa decisione di esecuzione n. 2021/914 della Commissione del 4 giugno 2021^[43] considera espressamente la possibilità che le SCC non siano effettivamente osservate.

La Clausola 16, rubricata appunto “inosservanza delle clausole e risoluzione” alla lettera b) prevede che: “Qualora l’importatore violi le presenti clausole o non sia in grado di rispettarle, l’esportatore sospende il trasferimento dei dati personali all’importatore fino a che il rispetto non sia nuovamente garantito o il contratto non sia risolto”.

Tale previsione pertanto non assicura in modo assoluto il diritto alla protezione dei dati personali degli interessati, ma impone uno standard di diligenza.

Secondo la decisione dell’Autorità irlandese, l’art. 46 GDPR, che consente l’utilizzo di SSC, deve essere letto alla luce del principio di accountability, espresso in combinato disposto dagli artt. 5 par. 2 e 24 GDPR, e poiché dallo stesso articolo non discende l’obbligo per il titolare di evitare qualsiasi danno con l’inesigibile assoluto rispetto delle clausole contrattuali standard, ciò che è preteso dal titolare o dal responsabile è l’adozione di un dato comportamento.

Anche sotto questa prospettiva, l’accountability si configura quindi come obbligazione di mezzi e non di risultato.

Lo standard di adeguatezza nel principio di accountability

Posto, come si è visto, che la predisposizione di misure tecniche e organizzative adeguate è un’obbligazione di mezzi, e quindi un obbligo di fare qualcosa e non di raggiungere un determinato obiettivo, si pone il problema di definire cosa il titolare del trattamento è obbligato a fare^[44].

È doveroso, a questo punto della trattazione, soffermarsi su un punto: la lettera dell’art. 24 GDPR impone che le misure adottate dal titolare siano adeguate a garantire che il trattamento dei dati personali avvenga nel rispetto del Regolamento.

La logica sottesa all’art. 24 GDPR evidenzia una tensione tra l’esigenza di predeterminazione delle misure di compliance e l’intrinseca indeterminatezza del rischio. In una prospettiva teorica, infatti, la valutazione dell’adeguatezza non può che assumere carattere probabilistico e contestuale, risultando inevitabilmente condizionata da fattori non interamente conoscibili ex ante. Ciò implica che la conformità normativa non possa essere garantita in modo definitivo a priori. Nella pratica, infatti, non è pretendibile che il titolare o il responsabile si prefiguri tutte le ipotesi in cui le misure che sceglie di adottare non garantiscano il pieno rispetto del Regolamento.

Il rispetto del Regolamento è un processo dialettico con la realtà e con le situazioni che vengono mano mano a configurarsi^[45]: lo stesso art. 24 GDPR richiede al titolare di rivedere le proprie scelte di governance qualora necessario. L’obbligo di revisione continua non avrebbe senso se il titolare fosse chiamato a predisporre una governance con la quale, sempre e comunque, possa essere rispettato il Regolamento. La previsione di un siffatto obbligo comporta la necessaria accettazione della possibilità che la governance del titolare non sia sempre idonea a gestire anche casi inediti dalla prospettiva del singolo titolare.

Tale frizione deve attribuirsi in gran parte al fatto che la norma sia di ampissimo respiro, e che non è stata sufficientemente tradotta in parametri concreti.

Le prescrizioni del Garante per il settore bancario

L’Autorità italiana sembra essere essa stessa conscia del fatto che le regole generali non sono tradotte in prescrizioni operative. Si ricordi, a titolo esemplificativo, il Provvedimento n. 192 del 12 maggio 2011 del Garante Privacy italiano, relativo alle prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie^[46]. Emerge in primo luogo, dall’istruttoria effettuata nell’ambito del Provvedimento in esame, un dato di particolare rilievo sistematico: la marcata eterogeneità delle soluzioni organizzative adottate da soggetti operanti nel medesimo settore.

Il Garante, infatti, evidenzia come, a seguito delle attività ispettive, siano state riscontrate scelte assai diversificate in ordine alle modalità di circolazione delle informazioni e di gestione degli accessi ai dati personali^[47]. Le differenze, che emergevano non solo tra banche o gruppi bancari differenti, ma anche tra le filiali appartenenti a medesimi istituti bancari, riguardavano soprattutto le modalità e i requisiti di accesso ai dati dei clienti^[48] e la qualificazione dei soggetti coinvolti nel trattamento, soprattutto in ipotesi di esternalizzazioni^[49].

L’aspetto più rilevante del Provvedimento riguarda il fatto che il Garante, preso atto dell’assenza di disposizioni normative specifiche, ha inteso prescrivere alcune misure in ordine al tracciamento degli accessi ai dati bancari dei clienti, ai tempi di conservazione dei relativi file di log e all’implementazione di alert volti a rilevare intrusioni o accessi anomali ai dati bancari tali da configurare eventuali trattamenti illeciti^[50].

Accountability, poteri delle Autorità e principio di legalità

Sebbene sia possibile affermare che i titolari e i responsabili del trattamento sono gravati da obblighi di diligenza, e che questa diligenza stenta ad essere concretizzata, data la mancanza di standard predefiniti, l’Autorità irroga comunque sanzioni, e solo all’atto sanzionatorio impartisce le misure da adottare per ripristinare – a suo dire – la liceità.

Fattispecie aperte e attività normativa delle Autorità

Le Autorità di Protezione Dati operano in un contesto caratterizzato da fattispecie aperte e principi generali, dettati dal GDPR, che devono essere tradotti in casi concreti per divenire regole^[51]: tale trasmutazione si concretizza in un’attività sostanzialmente normante.

È già stata messa in luce la prassi delle Autorità amministrative di adottare atti sostanzialmente normativi, auto-collocandosi nella zona grigia tra amministrazione e normazione^[52], ponendosi in tensione con il principio di legalità^[53]. Infatti, anche quando la Autorità intervengono con linee guida e orientamenti, incidono sull’applicazione delle norme, fino a rendere potenzialmente residuale l’intervento del legislatore^[54].

Se però, a seguito di linee guide e atti di soft law – che tuttavia, a causa del loro carattere non vincolante, almeno sul piano formale, sono difficilmente giustiziabili, e pertanto abrasivi dei principi propri dello Stato di diritto^[55] – gli operatori e i possibili destinatari dei Provvedimenti sanzionatori possono avere consapevolezza del comportamento e delle misure da adottare, non si può dire lo stesso quando questo parametro manchi del tutto.

Già la Corte Costituzionale nel 2021, in materia di sanzioni amministrative, ha ribadito che il principio di legalità impone la predeterminazione precisa dei presupposti per l’esercizio del potere sanzionatorio, della configurazione della norma di condotta la cui inosservanza è soggetta a sanzione, della tipologia e della misura della sanzione stessa e della struttura di eventuali cause esimenti^[56].

Al momento né il Garante italiano né l’EDPB hanno emanato orientamenti sul principio di accountability e sulla corretta governance che il titolare del trattamento deve porre in essere per evitare qualsiasi sanzione^[57]. In assenza di appositi atti di soft law, dovrebbe ritenersi che sia onere dell’Autorità ricostruire, quando possibile, il diritto vivente appropriato per il caso concreto, individuando così quella soglia minima di rimproverabilità^[58] per poter irrogare una sanzione al titolare del trattamento asserendo l’inadeguatezza delle sue misure di governance.

Bibliografia

ACHILLE D., I «Registri delle attività di trattamento» tra responsabilizzazione e presupposto di liceità del trattamento dei dati personali, in «European Journal of Privacy Law & Technologies», fasc. 2/2024, pp. 102-114.

ALONZO E., Le interferenze tra liability e accountability nel Regolamento sulla protezione dei dati personali, in «Responsabilità civile e previdenza», fasc. 4/2024, pp. 1133-1146.

BOLOGNINI L., PELINO E. (a cura di), Codice della disciplina privacy (commentario), Giuffrè Francis Lefebvre, Milano, 2024.

BORRILLO B., La tutela della privacy e le nuove tecnologie: il principio di accountability e le sanzioni inflitte dalle Autorità di controllo dell’Unione europea dopo l’entrata in vigore del GDPR, in «dirittifondamentali.it», fasc. 2/2020, 18 maggio 2020, pp. 326-256.

CREMONA E., I poteri privati nell’era digitale. Libertà costituzionali, regolazione del mercato, tutela dei diritti, collana Quaderni di Studi Senesi n. 13, Edizioni Scientifiche Italiane, Napoli, 2023.

DE LORENZI V., Diligenza, obbligazioni di mezzi e di risultato, in «Contratto e impresa», fasc. 2/2016, pp. 457-519.

DI COSIMO G., Sul ricorso alle linee guida da parte del Garante per la Privacy, in «Osservatorio sulle fonti», fasc. 1/2016, pp. 1-6.

D’ORAZIO R., FINOCCHIARO G., POLLICINO O., RESTA G. (a cura di), Codice della privacy e data protection, Giuffrè Francis Lefebvre, Milano, 2021.

DONINI V. M., La simbiosi tra accountability e whistleblowing nel quadro del governo aperto: un’analisi delle dinamiche e delle interazioni, in «federalismi.it», fasc. 16/2024, pp. 221-249.

FACCIOLI E., CASSARO M., Il “GDPR” e la normativa di armonizzazione nazionale alla luce dei principi: accountability e privacy by design, in «Il Diritto Industriale», fasc. 6/2018, pp. 561-566.

FINOCCHIARO G., Il nuovo Regolamento europeo sulla privacy e sulla protezione dei dati personali, Zanichelli, Bologna, 2017.

FINOCCHIARO G., Il principio di accountability, in «Giurisprudenza Italiana», fasc. 12/2019, pp. 2778-2783.

FRATINI M., Le obbligazioni, Accademia del Diritto Editrice, Roma, 2021.

GAMBINI M., Responsabilità e risarcimento nel trattamento dei dati personali, in CUFFARO V., D’ORAZIO R., RICCIUTO V. (a cura di), I dati personali nel diritto europeo, Giappichelli, Torino, 2019.

JASMONTAITE L., KAMARA I., ZANFIR G., LEUCCI S., Data Protection by Design and by Default: Framing Guiding Principles into Legal Obligations in the GDPR, in «European Data Protection Law Review», vol. 4, fasc. 2/2018, pp. 168-189.

MAGGIO F. L., Questioni interpretative sui poteri normativi delle Autorità amministrative indipendenti, in «federalismi.it», fasc. 10/2021, pp. 125-162.

MANCINI M., La “materia penale” negli orientamenti della Corte EDU e della Corte costituzionale, con particolare riguardo alle misure limitative dell’elettorato passivo, in «federalismi.it», Focus Human Rights n. 1/2018, pp. 1-26.

MENGONI L., Obbligazioni «di risultato» e obbligazioni «di mezzi». Studio critico, in «Rivista di diritto commerciale», 1954, I, pp. 185 ss.

PANETTA R. (a cura di), Circolazione e protezione dei dati personali, tra libertà e regole del mercato. Commentario al Regolamento UE n. 2016/679 (GDPR) e al novellato d.lgs. n. 196/2003 (Codice Privacy), Giuffrè Francis Lefebvre, Milano, 2019.

PISANECHI A., L’accountability delle Autorità finanziarie europee, in «Rivista AIC», fasc. 4/2023, 16 novembre 2023, pp. 185-206.

PIZZETTI F., Pandemia, Immuni e app di tracciamento tra GDPR ed evoluzione del ruolo dei Garanti, in «Rivista di diritto dei media», fasc. 2/2020, pp. 11-34.

RICCIO G. M., SCORZA G., BELISARIO E. (a cura di), GDPR e normative privacy. Commentario. Regolamento (UE) 2016/679 del 27 aprile 2016; Decreto di adeguamento D.Lgs. n. 101/2018; Codice Privacy D.Lgs. n. 196/2003, Wolters Kluwer, Milano, 2018.

RUSSELL B., Storia della filosofia occidentale, Tea, Milano, 2020.

WORKING PARTY ART. 29, Parere 3/2010 sul principio di responsabilità, adottato il 13 luglio 2010, Bruxelles.

[1] Cfr. Art. 7 Legge 31 dicembre 1996, n. 675, che istituiva un sistema autorizzativo ex ante al trattamento, smussato già con il Codice Privacy del 2003 che ha circoscritto il novero dei trattamenti soggetti all’obbligo di previa notifica, capovolgendo il precedente impianto della normativa nei limiti consentiti dalla disciplina comunitaria (Garante Privacy, Relazione 2003, pag. 5, righe 4-11, https://win.infogiur.com/law/privacy_relazione_garante_2003.pdf): a differenza di quanto previsto dalla legge n. 675/1996, dove tutti coloro che effettuavano il trattamento dei dati per sonali erano obbligati a notificare, salvo i casi di esonero per taluni titolari, con il nuovo sistema notificano solo i titolari dei trattamenti che sono elencati nell’art.

37 del Codice: si tratta di casi che, per la particolare delicatezza dei dati, le modalità di trattamento o le finalità perseguite, presentano rischi per i diritti e le libertà dell’interessato (pag. 163, riga 19 e ss.); è stata di fatti introdotta una prima forma di accountability.↩

[2] Working Party art. 29, Parere 3/2010 sul principio di responsabilità, adottato il 13 luglio 2010 a Bruxelles, par. 3.↩

[3] A. Pisanechi, L’accountability delle Autorità finanziarie europee, in «Rivista AIC», fascicolo n. 4/2023, 16 novembre 2023, pp. 185-206, https://www.rivistaaic.it/images/fascicoli/Rivista_AIC_Fascicolo_04_2023.pdf.↩

[4] Ibidem.↩

[5] V. M. Donini, La simbiosi tra accountability e whistleblowing nel quadro del governo aperto: un’analisi delle dinamiche e delle interazioni, in «federalismi.it», fascicolo 16/2024, pp. 221-249. L’A. ripercorre brevemente le origini storico-lessicali del concetto, che vale la pena di riportare: «il concetto di accountability nasce nella common law con particolare riferimento all’obbligo imposto da Guglielmo I a tutti i feudatari di compilare un dettagliato elenco dei loro possedimenti a fini fiscali (e da qui il termine count, cioè conto o registro) e, soprattutto, ricognitivi, in modo che il sovrano potesse avere contezza del suo territorio e consolidare così il suo potere (pag.

223 righe 12-13). […] Il termine inglese deriva in realtà dal latino: l’espressione ad computare è entrata infatti nel lessico inglese tramite il verbo aconter, introdotto a sua volta dal cosiddetto law french, la lingua normanna utilizzata nelle corti inglesi, specifica per il diritto. Quando ad computare è diventato to account e poi il sostantivo astratto accountability, all’accezione originaria di contare si è sovrapposta quella di spiegare, rendere conto, assumersi la responsabilità del proprio operato (pag. 222 righe 7-11)».↩

[6] Una definizione è offerta anche da E. Alonzo, Le interferenze tra liability e accountability nel Regolamento sulla protezione dei dati personali, in «Responsabilità civile e previdenza», fascicolo n. 4/2024, pp. 1133-1146, secondo cui l’accountability corrisponde all’obbligo del titolare del trattamento di mettere in atto misure adeguate ed efficaci per garantire che i principi normativi in materia di protezione dati siano rispettati e di essere in grado di dimostrare tale osservanza, su richiesta, alle autorità di controllo (pag. 1137, righe 4-8).↩

[7] E. Faccioli, M. Cassaro, Il “GDPR” e la normativa di armonizzazione nazionale alla luce dei principi: accountability e privacy by design, in «Il Diritto Industriale», fascicolo n. 6/2018, pp. 561-566.↩

[8] G. M. Riccio, G. Scorza, E. Belisario (a cura di), GDPR e normative privacy. Commentario. Regolamento (UE) 2016/679 del 27 aprile 2016; Decreto di adeguamento – D. Lgs. n. 101/2018; Codice Privacy – D. Lgs. N. 196/2003, Wolters Kluwer, Milano, 2018, pag. 241. L’A. sottolinea che il primo requisito per essere accountable è la trasparenza, che si concretizza nell’obbligo di tenere i registri delle attività di trattamento ex art. 30 GDPR; tale obbligo, secondo l’A., è solo formalmente escluso per le PMI, poiché il principio di responsabilità ha una portata generale e ampia.

Sui registri delle attività di trattamento si veda D. Achille, I «Registri delle attività di trattamento» tra responsabilizzazione e presupposto di liceità del trattamento dei dati personali, in «European Journal of Privacy Law & Technologies», fascicolo 2/2024, pp. 102-114.↩

[9] G. Finocchiaro, Il nuovo Regolamento europeo sulla privacy e sulla protezione dei dati personali, Zanichelli Editore, Bologna, 2017. L’A. la definisce l’accountability come «un modo di formalizzare e proceduralizzare l’autonomia nei limiti riconosciuti […]; un modo per creare una procedura dove c’è l’autonomia», pag. 15 righe 23-26.↩

[10] Ivi righe 4-8.↩

[11] Si precisa che la normativa non fornisce elenchi o esempi sulle policy da adottare per la gestione dei dati personali e dei diritti degli interessati, mentre esemplifica (art. 32 GDPR) le misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio; si noti che, a maggior riprova della lontananza degli ordinamenti giuridici di civil law al concetto di accountability, l’art. 15 della Legge 31 dicembre 1996, n. 675 contemplava misure minime di sicurezza, nonostante la Direttiva 95/46/CE (art. 17) richiedesse solo misure di sicurezza adeguate al rischio.↩

[12] L. Bolognini, E. Pelino (a cura di), Codice della disciplina privacy (commentario), Giuffrè Francis Lefebvre, Milano, 2024.↩

[13] In tal senso R. D’Orazio, G. Finocchiaro, O. Pollicino, G. Resta (a cura di), Codice della privacy e data protection, Giuffrè Francis Lefebvre, Milano, 2021, pp. 405-406; gli A. riprendono G. Finocchiaro, Il principio di accountability, in «Giurisprudenza Italiana», fascicolo 12/2019, pp. 2778-2783.↩

[14] In tal senso già L. Jasmontaite, I. Kamara, G. Zanfir, S. Leucci, Data Protection by Design and by Default: Framing Guiding Principles into Legal Obligations in the GDPR, in «European Data Protection Law Review», vol. 4, fasc. 2/2018, pp. 168-189.↩

[15] In tal senso Corte di Giustizia dell’Unione Europea, Terza Sezione, sentenza del 14 dicembre 2023 resa nella causa C-360/2021, VB contro Natsionalna agentsia za prihodite (ECLI:EU:C:2023:986), par. 34 «dall’articolo 5, paragrafo 2, del RGPD risulta che il titolare del trattamento deve essere in grado di dimostrare di aver rispettato i principi relativi al trattamento dei dati personali enunciati al paragrafo 1 di detto articolo. Tale obbligo è ripreso e precisato all’articolo 24, paragrafi 1 e 3, nonché all’articolo 32, paragrafo 3, di tale regolamento, con riguardo all’obbligo di attuare misure tecniche e organizzative per proteggere tali dati in occasione del trattamento effettuato da tale titolare.

Orbene, un siffatto obbligo di dimostrare l’adeguatezza di tali misure non avrebbe senso se il titolare del trattamento fosse obbligato ad impedire qualsiasi danno di detti dati».↩

[16] È doveroso segnalare la posizione della dottrina più risalente: R. Panetta (a cura di), Circolazione e protezione dei dati personali, tra liberà e regole del mercato. Commentario al Regolamento UE n. 2016/679 (GDPR) e al novellato d. lgs. n. 196/2003 (Codice Privacy), Giuffè Francis Lefebvre, Milano, 2019, qualifica l’obbligo come “di risultato”, nonostante affermi che esso «non consiste nell’evitare in ogni caso una violazione dei dati, ma nel predisporre in modo trasparente e controllabile tutte le misure (tecniche,

organizzative e giuridiche) che si ha ragione di ritenere idonee a impedire la violazione dei dati e nell’attivare tempestivamente l’autorità di controllo appena si sia verificata una violazione, per cercare in tal modo di contenere i danni (pag. 462, righe 2-7)».↩

[17] Corte Suprema spagnola, Terza Sezione, sentenza n. 188/2022, 15 febbraio 2022, procedimento n. 7359/2020, ECLI:ES:TS:2022:543, pag. 2 (antecedenti in fatto). La società ha ritenuto che probabilmente la commessa del negozio abbia inserito volutamente un indirizzo e-mail errato ma ritenuto inesistente, solo al fine di non bloccare la procedura di finanziamento, che non consentiva la conclusione del contratto senza l’indicazione dell’indirizzo di posta elettronica (pag. 8).↩

[18] Ivi pag. 7, punto terzo motivazioni in diritto. In senso contrario, R. PANETTA, op. cit., che riconduce invece la mancata adozione di misure adeguate a responsabilità oggettiva, con la doverosa precisazione che l’A. indaga il tema dal punto di vista della risarcibilità civilistica del danno, mentre tralascia gli aspetti inerenti alla sanzione amministrativa irrogabile dall’Autorità; la potestà sanzionatoria, richiede, invece, l’elemento soggettivo della colpa o del dolo (cfr. art. 3 Legge n. 689/1981 “Nelle violazioni cui è applicabile una sanzione amministrativa ciascuno è responsabile della propria azione od omissione, cosciente e volontaria, sia essa dolosa o colposa.

Nel caso in cui la violazione è commessa per errore sul fatto, l’agente non è responsabile quando l’errore non è determinato da sua colpa”).↩

[19] Corte Suprema spagnola, Terza Sezione, sentenza n. 188/2022, 15 febbraio 2022, op. cit., pag. 7.↩

[20] A titolo esemplificativo si menziona Agencia Española de Protección de Datos (AEPD), Resolución del procedimiento sancionador,
Expediente n.º EXP202100318 (PS/00084/2022), 22 marzo 2023, pag. 37, disponibile su:
https://www.aepd.es/documento/ps-00084-2022.pdf.↩

[21] Corte di giustizia dell’Unione europea, sez. III, 14 dicembre 2023, causa C‑340/21, VB c. Natsionalna agentsia za prihodite, ECLI:EU:C:2023:986, par. 34.↩

[22] Ivi par.30.↩

[23] Ivi par. 29.↩

[24] Corte di giustizia dell’Unione europea, sez. III, 25 gennaio 2024, causa C‑687/21, BL c. MediaMarktSaturn Hagen‑Iserlohn GmbH, ECLI:EU:C:2024:72, par. 39.↩

[25] Corte di giustizia dell’Unione europea, sez. III, 14 dicembre 2023, causa C‑340/21, VB c. Natsionalna agentsia za prihodite, ECLI:EU:C:2023:986, par. 39 e Corte di giustizia dell’Unione europea, sez. III, 25 gennaio 2024, causa C‑687/21, BL c. MediaMarktSaturn Hagen‑Iserlohn GmbH, ECLI:EU:C:2024:72, par. 40.↩

[26] Bundessozialgericht (Corte Federale Sociale tedesca), sentenza 6 marzo 2024, B 6 KA 23/22 R, ECLI:DE:BSG:2024:060324UB6KA2322R0, par. 39. Per completezza si riporta l’intero passaggio della sentenza: «Per i responsabili del trattamento, l’articolo 24 del RGPD prevede l’obbligo generale, nel trattamento dei dati personali, di attuare misure tecniche e organizzative adeguate, tenendo conto della probabilità di verificarsi e della gravità dei rischi, al fine di garantire che il trattamento avvenga in conformità con il RGPD (cfr. considerando 74 e segg. del RGPD; cfr.

anche sentenza della Corte di giustizia dell’Unione europea del 25.1.2024 – C-687/21 – EuZW 2024, 278, 280, punto 36 con ulteriori riferimenti). Maggiori precisazioni al riguardo si trovano negli articoli 25, 32 e 35 del GDPR (cfr. già la sentenza del BSG del 20.1.2021 – B 1 KR 7/20 R – BSGE 131, 169 = SozR 4-2500 § 291a n. 2, n. 78 e segg.).

La Corte di giustizia dell’Unione europea interpreta tali disposizioni nel senso che il titolare del trattamento è tenuto a mitigare i rischi di una violazione della protezione dei dati personali, e non a impedire ogni violazione di tale protezione (cfr. sentenza della Corte di giustizia dell’Unione europea del 25 gennaio 2024 – C-687/21 – EuZW 2024, 278, 280, punto 39 con ulteriori riferimenti). Ciò non richiede una sicurezza assoluta dei dati, né si postula che il GDPR elimini il rischio di violazioni della protezione dei dati personali.

Piuttosto, il responsabile del trattamento deve adottare misure tecniche e organizzative adeguate volte a prevenire, per quanto possibile, qualsiasi violazione della protezione dei dati personali (cfr. sentenza della Corte di giustizia dell’Unione europea del 14 dicembre 2023 – C-340/21 – EuZW 2024, 234, 235, punto 29 e segg.)».↩

[27] Cfr. art. 32 GDPR: “1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali;

b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 2.

Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. 3. L’adesione a un codice di condotta approvato di cui all’articolo 40 o a un meccanismo di certificazione approvato di cui all’articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo. 4.

Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri”.↩

[28] Corte di Giustizia dell’Unione Europea, 14 dicembre 2023, causa C‑340/21, cit., par. 39.↩

[29] V. nota 18.↩

[30] Applicando i c.d. Engel criteria (Corte europea dei diritti dell’uomo, Engel et all. c. Paesi Bassi, ric. nn. 5100/71, 5101/71, 5102/71, 5354/72 e 5370/72, sentenza dell’8 giugno 1976), la Corte EDU (Corte europea dei diritti dell’uomo, A. Menarini Diagnostics S.r.l. c. Italia, ric. n. 43509/08, sentenza del 27 settembre 2011) ha statuito che «le sanzioni di un’autorità amministrativa indipendente hanno natura essenzialmente penale: un’autorità amministrativa indipendente […] influisce sugli interessi generali della società; ]le sanzioni applicate sono] essenzialmente intese a punire al fine di prevenire la ripetizione del comportamento lamentato.

Si può quindi concludere che la multa imposta si basa[va] su regole che perseguivano sia uno scopo preventivo che uno punitivo (par. 38 e ss. Sentenza»). Sul punto anche M. Mancini, La “materia penale” negli orientamenti della Corte EDU e della Corte costituzionale, con particolare riguardo alle misure limitative dell’elettorato passivo, in «federalisimi.it», Focus Human Rights n. 1/2018, pp. 1-26.↩

[31] M. Gambini, Responsabilità e risarcimento nel trattamento dei dati personali, in Cuffaro, D’Orazio, Ricciuto (a cura di), I dati personali nel diritto europeo, Giappichelli Editore, Torino, 2019. La citazione è interna a E. Alonzo, op. cit.↩

[32] Cfr. Bundessozialgericht (Corte Federale Sociale tedesca), sentenza 6 marzo 2024, B 6 KA 23/22 R, ECLI:DE:BSG:2024:060324UB6KA2322R0, par. 39.↩

[33] Garante per la Protezione dei Dati Personali, Provvedimento del 17 luglio 2024, registro dei provvedimenti n. 441 del 17 luglio 2024, doc. web n. 10070252, disponibile sul sito web dell’Autorità al seguente link: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10070252 e sul sito dell’European Data Protection Board a seguente link: https://www.edpb.europa.eu/system/files/2025-04/it-2024-07-decision-public_redacted.pdf.↩

[34] Ivi par. 2 (Valutazioni dell’Autorità e conclusioni).↩

[35] Ivi.↩

[36] Data Protection Commission (Ireland), Decision of the Data Protection Commission in the inquiry into TikTok Technology Limited (IN‑21‑9‑2), 30 aprile 2025, disponibile al seguente link: https://www.dataprotection.ie/sites/default/files/uploads/2025-10/Inquiry%20into%20TikTok%20Technology%20Limited%20April%202025.pdf#:~:text=Decision%20of%20the%20Data%20Protection%20Commission%20made%20pursuant%20to%20Section%20111%20of%20the%20Data%20Protection%20Act%2C%202018%20and%20%0AArticle%2060%20of%20the%20General%20Data%20Protection%20Regulation.↩

[37] Ivi par. 259↩

[38] Ivi par. 268 «l’articolo 46 del GDPR deve essere letto anche alla luce degli obblighi di responsabilità previsti dagli articoli 5(2) e 24 del GDPR […]. I titolari e i responsabili del trattamento devono tenere conto degli obblighi di responsabilità quando effettuano una valutazione della liceità dei trasferimenti ai sensi degli articoli 44 e 46 del GDPR, tenendo conto anche delle considerazioni di cui al considerando 74 del GDPR.

Un’interpretazione dell’obbligo di effettuare una valutazione ai sensi degli articoli 44 e 46 che tenga debitamente conto degli articoli 5(2) e 24 del GDPR è anche coerente con l’enfasi posta nella sentenza Schrems II sulla responsabilità del titolare del trattamento di verificare se la legge del paese terzo verso cui vengono trasferiti i dati personali degli utenti SEE garantisca un livello di protezione sostanzialmente equivalente e di dimostrarlo a un’autorità di controllo che esercita il suo potere di verificare la conformità di tali trasferimenti al GDPR».↩

[39] Ivi par. 273.↩

[40] Ivi par. 272.↩

[41] Si precisa che la Corte Suprema irlandese ha sospeso il provvedimento della DPC in via cautelare: High Court (Ireland), TikTok Technology Limited e TikTok Information Technologies UK Limited vs Data Protection Commission, [2025] IEHC 619, 13 novembre 2025, Record No.: 2025/248 MCA; la decisione è visionabile al seguente link: https://p16-headlessx-no.tiktokcdn-eu.com/tos-no1a-i-ypbicmctyi-no/63ad6a677c37fa4218fe2d44cc4e9ba8.pdf.↩

[42] Ivi par. 282.↩

[43] Commissione europea, Decisione di esecuzione (UE) 2021/914 del 4 giugno 2021, relativa alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi a norma del regolamento (UE) 2016/679, in GUUE L 199, 7 giugno 2021.↩

[44] Considerare l’adeguatezza come parametro di diligenza consegue al sostenere la tesi di una netta distinzione tra obbligazioni di mezzi e di risultato; distinzione nient’affatto scontata sia in dottrina sia in giurisprudenza. Infatti, secondo autorevole dottrina, «un fatto valutato come mezzo in ordine ad un fine successivo rappresenta già un risultato quando sia considerato in se stesso, come termine finale di una serie teleologica più imitata: […] la distinzione tra obbligazioni di mezzi e di risultato è quindi relativa» (L. Mengoni, Obbligazioni «di risultato» e obbligazioni «di mezzi».

Studio critico, in «Rivista di diritto commerciale», 1954, I, pp. 185 ss.; la citazione è interna a V. De Lorenzi, Diligenza, obbligazioni di mezzi e di risultato, in «Contratto e impresa», fasc. n. 2/2016, pp. 457–519). Tale considerazione non appare condivisibile, così come non appare condivisibile l’interpretazione della sentenza della Cassazione a Sezioni Unite, 28 luglio 2005, n. 15781, come pronuncia che ha declamato il superamento della distinzione de quo (M. Fratini, Le obbligazioni, Accademia del Diritto Editrice, Roma, 2021, p. 120, righe 1–3, a commento di Cass., S.U., 28 luglio 2005, n.

15781); le S.S.U.U. (par. 10.2) affermano che «l’obbligazione di redigere un progetto di ingegneria o di architettura, pur avendo per oggetto una prestazione d’opera intellettuale, costituisce un’obbligazione di risultato»: propriamente l’obbligazione che incombe sul professionista è quella di redigere un progetto (risultato) secondo la sua sensibilità professionale (mezzo), ed è infatti una tipologia contrattuale c.d. intuitus personae in cui ha rilievo la persona che la svolge. Infatti, sebbene a entrambe le tipologie di obbligazione sia applicabile l’art. 2697 c.c.

sull’onere della prova, le obbligazioni di mezzi si distinguono per i diversi fatti che devono essere provati nell’uno o nell’altro caso, stante i diversi contenuti dei due obblighi (ibidem, righe 16–24, sull’applicazione dell’art. 2697 c.c. e la diversa prova dei fatti secondo il contenuto dell’obbligazione). Le menzionate Sezioni Unite affermano che (par. 11.1) «in realtà, in ogni obbligazione si richiede la compresenza sia del comportamento del debitore che del risultato, anche se in proporzione variabile, sicché molti autori criticano la distinzione [tra obbligazioni di mezzo e risultato] poiché in ciascuna obbligazione assumono rilievo così il risultato pratico da raggiungere attraverso il vincolo, come l’impegno che il debitore deve porre per ottenerlo».

Pertanto, secondo tale ragionamento, ogni obbligazione è un’obbligazione di risultato. Tuttavia «un conto è negare che dalla distinzione tra obbligazioni di mezzi e obbligazioni di risultato derivino conseguenze sul piano dell’onere della prova e del fondamento della responsabilità del debitore; un altro conto è negare la peculiarità del contenuto di certe obbligazioni di fare» (V. De Lorenzi, op. cit., pp. 511–512). Il principio enunciato dalle S.S.U.U. può essere solo in parte applicato al principio di accountability, poiché è ben possibile che la peculiare governance del titolare non richieda l’adozione di alcuna misura predeterminata o predeterminabile: la norma non richiede necessariamente alcun risultato immediatamente valutabile.

Non è quindi possibile sostenere fino in fondo che l’art. 24 imponga un risultato minimo, quello dell’adozione di qualche indefinita misura, giacché potrebbe in certi contesti, specie se piccolissime dimensioni e/o familiari, essere adeguata la scelta di non adottare alcuna misura.↩

[45] È lo stesso processo dialettico che si configura con quella che i filosofi chiamano «ricerca della conoscenza», processo in cui «sia colui che conosce sia la cosa conosciuta sono in un continuo processo di mutuo adattamento», B. Russel, Storia della filosofia occidentale, Tea, Milano, 2020, pag. 762, righe 1-7.↩

[46] Garante Privacy, Prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie – 12 maggio 2011 [1813953], (Pubblicato sulla Gazzetta Ufficiale n. 127 del 3 giugno 2011), disponibile al seguente link: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1813953.↩

[47] Ivi par. 1.3.↩

[48] Ivi par. 2.1.↩

[49] Ivi par. 3.2.↩

[50] Ivi par. 4.1.↩

[51] E. Cremona, I poteri privati nell’era digitale. Libertà costituzionali, regolazione del mercato, tutela dei diritti, collana Quaderni di Studi Senesi n. 13, Edizioni Scientifiche Italiane, Napoli, 2023, pag. 195 e pag. 213.↩

[52] G. Di Cosimo, Sul ricorso alle linee guida da parte del Garante per la Privacy, in «Osservatorio sulle fonti», fasc. 1/2016, pp. 1-6.↩

[53] Ibidem; l’A. si limita a sottolineare la tensione con la legalità formale, poiché ritiene il Garante non investito di alcun potere normativo; ritiene che tale tensione si allenti quando vengono preferiti strumenti di soft law piuttosto che di hard law. Tuttavia quando il Garante norma attraverso atti sanzionatori, viola anche il più importante principio di legalità sostanziale, facendo perdere tutti i sensi al celebre brocardo nullum crimen sine poena, nulla poena sine lege.↩

[54] F. Pizzetti, Pandemia, Immuni e app di tracciamento tra GDPR ed evoluzione del ruolo dei Garanti, in «Rivista di diritto dei media», fascicolo 2/2020, pp. 11-34.↩

[55] F. L. Maggio, Questioni interpretative sui poteri normativi delle Autorità amministrative indipendenti, in «federalismi.it», fasc. 10/2021, pp. 125-162.↩

[56] Corte Costituzionale, sentenza 5/2021, par. 5.1 considerazioni in diritto.↩

[57] L’attuale quadro sembra aver in parte deluso B. Borrillo, La tutela della privacy e le nuove tecnologie: il principio di accountability e le sanzioni inflitte dalle Autorità di controllo dell’Unione europea dopo l’entrata in vigore del GDPR, in «dirittifondamentali.it», fascicolo 2/2020 del18 maggio 2020, pp. 326-356, che sembrava sicura del fatto che «soluzioni concrete e tecnicismi […] gradualmente si svilupperanno».↩

[58] Espressione opportunamente mutuata dalla sentenza della Corte costituzionale n. 1085 del 1988.↩