Ordinanza ingiunzione o revoca n. 558 del 30/11/2023

Techno Security s.r.l. - mancato riscontro a una richiesta di accesso e sanzione pecuniaria

Il provvedimento riguarda Techno Security s.r.l., destinataria di una sanzione amministrativa pecuniaria per il tardivo riscontro a un’istanza di accesso ai dati personali presentata da un interessato. Il procedimento nasce da un reclamo ex art. 77 GDPR e si conclude con la dichiarazione di illiceità del trattamento limitatamente alla violazione degli obblighi di risposta previsti dal Regolamento.

Origine del procedimento e sviluppi istruttori

L’interessato ha presentato reclamo al Garante il 16 aprile 2020, lamentando il mancato riscontro alla richiesta di esercizio dei diritti inviata il 29 febbraio 2020, collegata al trattamento di dati effettuato dalla società nell’ambito di un sistema di sicurezza installato presso la sua abitazione. L’Ufficio ha prima invitato la società a fornire osservazioni e ad aderire alle richieste del reclamante, poi ha reiterato la richiesta ai sensi dell’art. 157 del Codice privacy. Solo con comunicazione del 14 novembre 2020 la società ha risposto, affermando di detenere nei propri archivi solo l’anagrafica ai fini fiscali dell’interessato.

Successivamente, l’Ufficio ha notificato l’avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, con riferimento alla violazione degli artt. 12, par. 3, e 15 GDPR. La società non ha poi trasmesso scritti difensivi o ulteriori documenti nel corso del procedimento.

Violazione accertata

All’esito dell’istruttoria, il Garante ha accertato che la società, quale titolare del trattamento, non aveva fornito riscontro all’istanza di accesso entro il termine di un mese previsto dall’art. 12, par. 3, GDPR. Il riscontro è intervenuto solo dopo il reclamo e l’avvio dell’istruttoria, con un ritardo di circa nove mesi rispetto al termine legale.

La condotta è stata ritenuta incompatibile con il diritto di accesso di cui all’art. 15 GDPR e con gli obblighi procedurali del titolare previsti dall’art. 12, par. 3, che impongono di rispondere senza ingiustificato ritardo e comunque entro un mese, ovvero di informare tempestivamente l’interessato dell’eventuale proroga o del mancato accoglimento della richiesta.

Valutazioni del Garante

Il Garante ha dichiarato fondato il reclamo e ha affermato l’illiceità del trattamento effettuato nei termini descritti in motivazione. È stato richiamato anche l’art. 168 del Codice privacy, con l’avvertimento che dichiarazioni o atti falsi resi nel procedimento dinanzi all’Autorità possono integrare reato, salvo che il fatto costituisca più grave reato.

Ai fini sanzionatori il Garante ha escluso che la violazione potesse essere considerata minore, valorizzando la natura, la gravità e la durata della stessa, il grado di responsabilità e la circostanza che l’Autorità sia venuta a conoscenza della violazione tramite reclamo dell’interessato.

Quantificazione della sanzione

Per la determinazione dell’importo, il Garante ha applicato i criteri di cui all’art. 83, par. 2, GDPR, tenendo conto in particolare:

• della natura, gravità e durata della violazione, relativa all’esercizio dei diritti dell’interessato e al ritardo nel riscontro;
• della mancata cooperazione della società con l’Autorità nel corso del procedimento;
• dell’assenza di precedenti violazioni pertinenti;
• delle condizioni economiche del contravventore, valutate sulla base dei ricavi risultanti dal bilancio 2022.

Richiamati i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR, la sanzione è stata determinata in euro 1.000.

Dispositivo, pagamento e pubblicazione

Il Garante, esercitando i poteri di cui agli artt. 57, par. 1, lett. f), 58, par. 2, lett. i), e 83 GDPR, nonché all’art. 166 del Codice privacy, ha:

• dichiarato l’illiceità del trattamento per violazione degli artt. 12, par. 3, e 15 GDPR;
• ordinato a Techno Security s.r.l. il pagamento della sanzione amministrativa pecuniaria di euro 1.000;
• ingiunto il pagamento entro 30 giorni dalla notifica del provvedimento, con avvertenza degli atti esecutivi in caso di mancato pagamento;
• ricordato la possibilità di definire la controversia mediante pagamento in misura ridotta, pari alla metà della sanzione, nei termini di legge;
• disposto la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

Tutela giurisdizionale

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.