Violazioni del GDPR e colpevolezza nella recente giurisprudenza della Corte di giustizia: note a margine delle sentenze Karantinas e Deutsche Wohnen

Abstract [It]: Il Regolamento Generale sulla Protezione dei Dati (GDPR) ha introdotto un elenco di illeciti amministrativi, puniti con pesanti pene pecuniarie, che colpiscono titolari e responsabili dei trattamenti di dati personali. L’art. 83 del GDPR, tuttavia, non chiarisce se le infrazioni siano costituite unicamente dall’elemento oggettivo (strict liability) ovvero se sia necessaria anche l’intenzionalità o almeno la negligenza (mens rea) del trasgressore. Inoltre, la norma non precisa se, in caso di infrazioni ascritte ad una persona giuridica, sia necessaria la previa identificazione dell’autore della violazione, affinché l’illecito possa essere addebitato a tale persona giuridica. Il presente contributo, attraverso l’analisi della giurisprudenza recente della Corte di giustizia, si propone di verificare se le soluzioni ermeneutiche fornite dalla Corte conducano a risultati pratici conformi, da un lato, agli obiettivi di deterrenza delle sanzioni e, dall’altro, ai diritti dei soggetti incolpati.

Title: GDPR infringements and culpability in recent ECJ case law: notes on the Karantinas and Deutsche Wohnen judgments

Abstract [En]: The General Data Protection Regulation (GDPR) has introduced a list of infringements, punished with severe administrative sanctions, which affect controllers and processors of personal data. Art. 83 of the GDPR, however, does not clarify whether the infringements consist solely of the objective element (strict liability) or whether the intentionality or negligence (mens rea) of the offender is also necessary. Furthermore, the rule does not specify whether, in the case of an infringement attributed to a legal person, the prior identification of the author of the violation is necessary, so that the offence can be attributed to that legal person.This paper, through the analysis of recent jurisprudence of the Court of justice, aims to verify whether the hermeneutical solutions provided by the ECJ lead to practical results compliant, on the one hand, with the objectives of deterrence of sanctions and, on the other, with the rights of the accused parties.

Parole chiave: Diritto alla protezione dei dati personali, Regolamento Generale sulla Protezione dei Dati; Sanzioni amministrative; Dolo; Colpa; Colpevolezza

Keywords: Right to the protection of personal data, General Data Protection Regulation; Administrative sanctions; Culpability; Intentionality; Negligence

Sommario: 1. Premessa. 2. Fatti di causa e quesiti del caso Deutsche Wohnen. 3. Fatti di causa e quesiti del caso Karantinas. 4. Le decisioni della Corte. 5. Le nozioni di titolare e contitolare del trattamento. 6. L’imputazione delle sanzioni amministrative alle persone giuridiche. 7. L’elemento soggettivo delle violazioni del GDPR. 8. L’imputazione dell’illecito al titolare o al responsabile del trattamento. 9. La ripartizione dell’onere della prova. 10. Riflessioni conclusive.