Ordinanza ingiunzione o revoca n. 14 del 11/01/2024

Build Lenders S.r.l. - pubblicazione illecita di dati di un ex socio e mancato riscontro alla richiesta di cancellazione

Il Garante ha esaminato il trattamento posto in essere da Build Lenders S.r.l. in relazione alla permanenza online e nella visura camerale di dati personali di un ex socio, ancora indicato come collaboratore nel Registro delle imprese. Il procedimento trae origine da un reclamo dell’interessato e da successive richieste istruttorie dell’Autorità rimaste sostanzialmente prive di adeguato riscontro.

Fatti e origine del reclamo

L’interessato ha segnalato che, pur avendo ceduto le quote societarie e interrotto ogni rapporto con la società a settembre 2021, i suoi dati personali continuavano a risultare presenti nella documentazione societaria e nel sito web collegato al Registro delle imprese. In particolare, erano ancora visibili nome, cognome e titolo di studio, con l’erronea indicazione del ruolo di collaboratore.

Ha inoltre riferito di aver inviato il 30 settembre 2022 una richiesta di cancellazione dei dati senza ricevere risposta. Persistendo la pubblicazione dei dati, ha presentato reclamo al Garante il 21 novembre 2022.

Istruttoria svolta dall’Autorità

L’Ufficio ha avviato l’istruttoria con richiesta di informazioni ai sensi dell’art. 157 del Codice privacy, trasmessa il 10 marzo 2023. La Società ha risposto in modo incompleto, sostenendo inizialmente che mancasse il reclamo allegato alla richiesta. L’Ufficio ha replicato chiarendo che l’allegato era presente e lo ha reinoltrato.

Non avendo ottenuto ulteriori riscontri, l’Autorità ha avviato il procedimento con atto del 10 maggio 2023, notificato il 20 giugno 2023 con l’ausilio del Nucleo speciale privacy della Guardia di Finanza. Nel corso degli accertamenti presso la sede della Società, i verbalizzanti hanno incontrato difficoltà nel reperire un referente; il rappresentante legale, per il tramite della moglie, ha dichiarato che i dati sarebbero stati cancellati in occasione del rinnovo dei requisiti di start-up innovativa e comunque entro 30 giorni dall’approvazione del bilancio.

Successivamente è pervenuta una comunicazione via PEC, non sottoscritta, in cui si affermava che la mail del 17 marzo 2023 era sfuggita alla visione dell’addetta al controllo e si ribadiva la promessa di cancellazione. Tuttavia, al controllo del 21 dicembre 2023, i dati risultavano ancora pubblicati sia nella pagina web indicata dal reclamante sia nella visura camerale, nonostante l’aggiornamento della scheda dell’impresa sulla base di una dichiarazione del 28 agosto 2023.

Violazioni accertate

Il Garante ha ritenuto illecito il trattamento per assenza di base giuridica, rilevando che l’interessato non era più socio da oltre un anno e che non vi era ragione per mantenere i dati nella documentazione societaria pubblicata.

Sono state contestate e poi confermate le violazioni di:

• art. 5, par. 1, lett. a) e d), GDPR, per violazione dei principi di liceità, correttezza, trasparenza e esattezza;
• art. 6 GDPR, per mancanza di una valida base giuridica;
• art. 12, par. 3, GDPR, per mancato riscontro alla richiesta dell’interessato;
• art. 17 GDPR, per mancata cancellazione dei dati;
• art. 157 del Codice privacy, per mancata risposta alle richieste di informazioni dell’Autorità.

L’Autorità ha sottolineato che la pubblicazione di dati non aggiornati, già chiesti in cancellazione, integra un trattamento privo di liceità e trasparenza. Ha inoltre rilevato che la Società non ha fornito motivazioni plausibili né sull’erronea pubblicazione né sul persistente silenzio verso l’interessato e verso il Garante.

Ordine di cancellazione e poteri correttivi

Ai sensi dell’art. 58, par. 2, lett. c) e g), GDPR, il Garante ha ordinato a Build Lenders S.r.l. di provvedere senza ritardo alla cancellazione dei dati del reclamante da tutte le sedi in cui non sia più necessaria la loro conservazione e pubblicazione, con particolare riferimento alla documentazione societaria esposta nel Registro delle imprese.

Sanzione amministrativa pecuniaria

Considerata la pluralità delle violazioni, il Garante ha applicato il principio di cui all’art. 83, par. 3, GDPR, ritenendo operante il massimo edittale previsto dall’art. 83, par. 5, GDPR. Ha quindi individuato il limite massimo teorico in 20 milioni di euro, evidenziando che il 4% del fatturato della Società era inferiore a tale soglia.

Nel determinare l’importo, l’Autorità ha valorizzato come aggravanti:

• la gravità e la durata della violazione, poiché l’erronea indicazione era presente da oltre due anni;
• il carattere gravemente colposo della condotta;
• l’elevato grado di responsabilità del titolare, che non ha dato seguito alle dichiarazioni rese;
• la scarsa cooperazione con l’Autorità.

Sono state considerate attenuanti:

• l’assenza di precedenti violazioni pertinenti;
• la natura dei dati trattati, limitati a dati comuni (nome, cognome, titolo di studio).

Alla luce anche della natura di microimpresa del titolare e dei dati di bilancio, è stata irrogata la sanzione amministrativa pecuniaria di euro 10.000,00, pari allo 0,05% del massimo edittale ipotizzato.

Ulteriori disposizioni

Il Garante ha disposto:

• la pubblicazione integrale del provvedimento sul sito istituzionale, ai sensi dell’art. 166, comma 7, del Codice privacy;
• l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità, ai sensi del regolamento del Garante n. 1/2019.

È stato infine ricordato che, in caso di inosservanza del provvedimento, può applicarsi la sanzione di cui all’art. 83, par. 5, lett. e), GDPR, e che avverso il provvedimento è proponibile opposizione all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR e dalla normativa richiamata.