Chiarimenti sui controlli relativi ai trattamenti transfrontalierii di dati

L'autorità di controllo dello stabilimento principale o dello stabilimento unico del titolare e del trattamento o responsabile del trattamento è competente ad agire in qualità di autorità di controllo capofila per i trattamenti transfrontalieri effettuati dal suddetto titolare del trattamento o responsabile del trattamento (purché ciò avvenga secondo l’apposita procedura). Ne consegue che, ove risulti che il trattamento sia stato effettuato da una società italiana in piena e diretta autonomia di decisione rispetto ai dati personali - dei propri rider, nel caso specifico -, tanto basta a stabilire la legittimazione a fini sanzionatori dell’autorità nazionale garante della protezione dei dati. Stabilire, poi, se, ai fini del regolamento, si sia o meno dinanzi a un trattamento eterodiretto da una capofila estera, implica un accertamento di merito, così come accade per tutti gli accertamenti sulla titolarità del trattamento dei dati. Egualmente costituisce questione di fatto stabilire, in relazione al concetto di stabilimento principale, con quale livello di autonomia decisionale il titolare di un trattamento possa concretamente aver operato rispetto alle modalità incise dal funzionamento di una piattaforma informatica. E ove si discuta dei trattamenti dei dati di rider operanti in Italia, un tale accertamento presuppone di valutare gli elementi dei singoli contratti stipulati, nei quali ordinariamente sono definiti anche (e proprio) le modalità e le regole a cui soggiacciono i trattamenti stessi. (Ordinanza 27189 del 22 settembre 2023 della Cassazione)