Ordinanza ingiunzione o revoca n. 273 del 09/05/2024

Polisportiva Mimmo Ferrito s.r.l. - mancato riscontro a un’istanza di accesso ai dati personali

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato nei confronti della Polisportiva Mimmo Ferrito s.r.l., relativo al mancato riscontro a un’istanza di esercizio dei diritti ex artt. 12 e 15 GDPR. Il procedimento trae origine anche da precedenti richieste istruttorie dell’Autorità e si conclude con una decisione mista: archiviazione per un profilo istruttorio, accertamento della violazione dei diritti dell’interessato e applicazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e contenuto dell’istanza

L’interessato aveva riferito di avere ricevuto una e-mail della Società relativa alla riapertura della struttura, inviata con indirizzi degli altri destinatari in chiaro. A seguito di tale comunicazione, aveva presentato un’istanza ai sensi dell’art. 15 GDPR, chiedendo:

• l’accesso ai propri dati personali;
• copia dell’informativa predisposta dalla Società ai sensi dell’art. 13 GDPR.

L’istanza, notificata all’indirizzo PEC della Società il 20/07/2020, non avrebbe ricevuto alcun riscontro nei termini di legge.

Svolgimento dell’istruttoria

L’Autorità ha invitato la Società a fornire osservazioni e ad aderire all’istanza dell’interessato con note del 05/03/2021 e del 03/05/2021. In seguito, ha attivato una richiesta di informazioni ex art. 157 Codice con nota del 24/08/2021 e, constatato il perdurare del mancato riscontro, ha delegato la Guardia di finanza alla notifica di una nuova richiesta di informazioni e dell’atto di avvio del procedimento sanzionatorio.

La Società ha dichiarato, in sintesi, che:

• il mancato riscontro alla richiesta del Garante era dipeso da un errore di digitazione dell’indirizzo PEC;
• l’istanza dell’interessato non sarebbe mai pervenuta alla direzione e potrebbe essere finita tra gli spam;
• dopo la nomina del DPO e la stipula di un contratto di consulenza GDPR, era stata adottata una procedura specifica per la gestione delle istanze degli interessati con risposta entro 30 giorni;
• l’invio della e-mail con gli indirizzi in chiaro era stato un episodio accidentale dovuto a errore umano.

Valutazioni del Garante sulle richieste istruttorie

Per la richiesta di informazioni del 24/08/2021, il Garante ha preso atto che la notifica non era andata a buon fine per un errore di digitazione dell’indirizzo PEC. Per questo specifico profilo ha disposto l’archiviazione del procedimento, richiamando l’art. 11, comma 1, lett. b), e l’art. 14 del regolamento del Garante n. 1/2019.

Violazione degli artt. 12, par. 3, e 15 GDPR

Diversa la valutazione sull’istanza dell’interessato. Il Garante ha accertato che la Società non aveva fornito alcun riscontro alla richiesta del 20/07/2020 e non aveva informato l’interessato dei motivi dell’eventuale inottemperanza. Ha richiamato il contenuto dell’art. 15 GDPR, che attribuisce all’interessato il diritto di ottenere conferma dell’esistenza di un trattamento e l’accesso ai dati e alle informazioni ivi elencate, e dell’art. 12, par. 3, GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta.

Il provvedimento sottolinea che, anche a fronte dell’eventuale impossibilità di soddisfare la richiesta, il titolare avrebbe dovuto informare tempestivamente l’interessato dei motivi dell’inottemperanza e della possibilità di proporre reclamo o ricorso giurisdizionale.

Illiceità del trattamento e motivi dell’intervento correttivo

Alla luce dell’istruttoria, il Garante ha ritenuto che la condotta della Società, consistente nel mancato riscontro all’istanza di esercizio dei diritti, fosse contraria alla disciplina di protezione dei dati personali. Non avendo le difese della Società superato i rilievi contestati, l’Autorità ha dichiarato l’illiceità del trattamento relativo all’interessato e ha ritenuto necessario adottare misure correttive e sanzionatorie ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 5, GDPR, determinando la sanzione in euro 3.000,00. Nella quantificazione ha considerato:

• la natura della violazione, riguardante i diritti dell’interessato;
• la durata della violazione, ritenuta ancora in corso;
• l’assenza di precedenti violazioni pertinenti;
• le misure adottate dalla Società per adeguarsi alla disciplina privacy;
• le condizioni economiche del contravventore, desunte dai ricavi del bilancio 2022.

L’Autorità ha richiamato anche i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Ordine di adempiere e pubblicazione

Oltre alla sanzione pecuniaria, il Garante ha ordinato alla Società, ai sensi dell’art. 58, par. 2, lett. c), GDPR, di soddisfare l’istanza dell’interessato, comunicando le informazioni richieste entro 30 giorni dalla notifica del provvedimento e dando contestuale riscontro all’Autorità.

È stata inoltre disposta la pubblicazione del provvedimento sul sito internet del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019. Il provvedimento richiama infine la facoltà di definizione agevolata prevista dall’art. 166, comma 8, Codice e la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 Codice e dell’art. 10 d.lgs. 150/2011.