Il Tribunale del Land di Berlino riduce drasticamente la multa milionaria contro Deutsche Wohnen

Il giudice presidente Simon Trost ha dichiarato che il tribunale, pur ravvisando una violazione del GDPR, la valuta in modo nettamente meno severo rispetto all'autorità. „Wir sehen einen Verstoß gegen die Datenschutz-Grundverordnung“, ha detto Trost. Allo stesso tempo ha sottolineato: „Wir sehen den Verstoß in einem milderen Licht.“ A motivazione è stato detto che l'azienda avrebbe collaborato e lavorato a una soluzione tecnica.

Una lettura più mite della violazione

Nonostante la marcata riduzione, il tribunale mantiene la critica di fondo alla condotta dell'azienda. „Es wäre der Deutsche-Wohnen-Gruppe aus Sicht des Gerichts allerdings möglich gewesen, ‚es schneller auf den Weg zu bringen‘“, ha affermato Trost. L'azienda si sarebbe inoltre comportata „schuldhaft“, poiché non avrebbe preso sufficientemente sul serio l'obbligo di cancellazione regolare.

Al termine di un processo durato circa tre mesi, la pubblica accusa aveva chiesto una multa di 7,3 milioni di euro, sostenendo nella sua arringa che Deutsche Wohnen si era „zu spät und nicht ausreichend bemüht“. Era stato inoltre concesso un periodo transitorio di due anni. Il tribunale è rimasto infine nettamente al di sotto di tale richiesta, irrogando solo 900.000 euro – una riduzione di 13,6 milioni di euro rispetto al provvedimento originario.

La stessa Deutsche Wohnen aveva chiesto l'assoluzione, sostenendo che i dati memorizzati fossero già stati, nel periodo di riferimento, „gekappt“, ossia bloccati e protetti da accessi non autorizzati. L'azienda aveva inoltre fatto presente di aver investito milioni, già prima del periodo indicato nel provvedimento, nella modernizzazione del sistema di archiviazione. Queste obiezioni hanno convinto i giudici solo in parte.

Un lungo iter attraverso i gradi di giudizio

Sotto il profilo processuale, il caso è già una montagna russa giuridica: nel 2021 il Tribunale del Land di Berlino aveva inizialmente annullato il provvedimento dell'autorità e chiuso il procedimento per un impedimento processuale, poiché l'autorità non aveva indicato una persona concretamente responsabile della presunta violazione. La pubblica accusa propose impugnazione e il Kammergericht di Berlino sottopose la questione alla Corte di giustizia dell'Unione europea (CGUE).

Nel dicembre 2023 la CGUE ha deciso che le autorità per la protezione dei dati possono irrogare multe alle aziende anche quando non hanno accertato un illecito amministrativo di una persona fisica investita di funzioni direttive. Al contempo, la CGUE ha chiarito: „Ein Bußgeld dürfe aber nur dann gegen ein Unternehmen verhängt werden, wenn der Verstoß ‚schuldhaft‘ begangen worden sei.“ Il Tribunale del Land ha ora applicato tali parametri.

Un effetto di orientamento per la prassi sanzionatoria

La sentenza non è ancora passata in giudicato (numero di fascicolo 526 OWiG LG 1/20). Deutsche Wohnen è una società controllata del gruppo immobiliare quotato al DAX Vonovia. Gli osservatori giudicano la decisione un precedente destinato a orientare la futura prassi sanzionatoria delle autorità tedesche per la protezione dei dati, poiché per la prima volta il parametro fissato dalla CGUE è stato applicato integralmente a un procedimento di grandi dimensioni.

Gli esperti di protezione dei dati scorgono nella sentenza un duplice messaggio: da un lato, essa conferma che le violazioni del GDPR possono essere sanzionate anche senza l'indicazione di un responsabile persona fisica; dall'altro, pone limiti evidenti all'entità di tali sanzioni. Mentre l'autorità intendeva inizialmente far valere una delle più alte multe previste dal GDPR in Germania, l'importo effettivamente irrogato risulta relativamente contenuto.

Deutsche Wohnen ha annunciato che attenderà la motivazione scritta della sentenza prima di decidere eventuali ulteriori iniziative. Anche l'autorità berlinese per la protezione dei dati ha lasciato aperta la possibilità di proporre un rimedio giuridico. Resta dunque da vedere se la disputa giuridica sul trattamento dei dati degli inquilini entrerà in un ulteriore round.

Indipendentemente dall'esito, il caso ha un effetto di orientamento: chiarisce quanto sia difficile per le autorità di vigilanza dimostrare concrete violazioni di obblighi nei confronti di grandi gruppi e, al contempo, rafforza la posizione delle aziende interessate che possono richiamare un comportamento cooperativo e soluzioni tecniche.