Ordinanza ingiunzione o revoca n. 111 del 22/02/2024

Ossitocina24: mancato riscontro a richiesta di cancellazione e permanenza illecita dei dati sul sito

Il Garante per la protezione dei dati personali ha adottato nei confronti di Ossitocina24 di Patrono Antonella un provvedimento sanzionatorio e correttivo relativo alla gestione dei dati personali di un interessato pubblicati sul sito www.telasutela.it. Il caso origina da un reclamo e riguarda, da un lato, il mancato tempestivo riscontro alle richieste di esercizio dei diritti e, dall’altro, la permanenza online dei dati oltre la cessazione del rapporto contrattuale.

Origine del reclamo e svolgimento dell’istruttoria

L’interessato aveva stipulato il 18 novembre 2021 un contratto avente ad oggetto la vendita e la promozione, anche sul web, di opere d’arte. In data 4 luglio 2022 aveva comunicato via PEC la volontà di recedere dal contratto, ritenendo che ciò comportasse anche la cancellazione dei propri dati personali dal sito. Successivamente, con reclamo del 13 marzo 2023, lamentava che i suoi dati fossero ancora presenti sul sito internet del titolare.

L’Ufficio ha chiarito che la comunicazione del 4 luglio 2022 esprimeva una volontà contrattuale, non una specifica istanza privacy. Su invito dell’Autorità, l’interessato ha quindi formulato un interpello preventivo il 24 marzo 2023 chiedendo espressamente la cancellazione dei dati. Tale richiesta, inviata all’indirizzo PEC indicato nel contratto, è rimasta senza risposta. Anche la richiesta di informazioni del Garante del 2 maggio 2023, inviata ai sensi dell’art. 157 del Codice, non ha ottenuto alcun riscontro.

Poiché il silenzio del titolare persisteva, il Garante ha avviato il procedimento con atto del 18 luglio 2023, notificato anche tramite il Nucleo speciale privacy della Guardia di Finanza. In occasione della verifica ispettiva del 3 agosto 2023 presso la sede dell’impresa, è emerso che i dati dell’interessato erano stati cancellati solo dopo la comunicazione di avvio del procedimento.

Accertamenti svolti e condotta del titolare

Dall’istruttoria è emerso che:

• la richiesta di cancellazione del 24 marzo 2023 non era stata riscontrata per una "mera svista";
• la cancellazione dei dati è avvenuta soltanto dopo la ricezione dell’avvio del procedimento del 18 luglio 2023;
• l’impresa ha dichiarato che, per prassi aziendale, i dati dei clienti vengono cancellati alla cessazione del mandato, se disdetto nei termini previsti dal contratto.

Il Garante ha rilevato anche che l’indirizzo PEC dell’impresa era funzionante, poiché gli atti inviati hanno ricevuto regolare attestazione di accettazione e consegna.

Violazioni contestate e valutazioni del Garante

L’atto di contestazione dell’8 novembre 2023 ha imputato a Ossitocina24, oltre alla violazione dell’art. 157 del Codice, anche la violazione di diverse disposizioni del GDPR:

• artt. 12, 17 e 21, per non aver riscontrato l’istanza dell’interessato e per non aver tempestivamente registrato/gestito l’opposizione e la richiesta di cancellazione;
• art. 5, par. 1, lett. b), c) ed e), per aver conservato i dati oltre la finalità e senza giustificazione;
• art. 6, par. 1, lett. a), per aver diffuso i dati personali sul sito in assenza di consenso e dopo la cessazione del contratto.

Nelle valutazioni giuridiche, l’Autorità ha sottolineato che il titolare ha preso contezza della richiesta di cancellazione solo dopo l’avvio del procedimento e che non ha fornito spiegazioni sulla mancata risposta alla richiesta istruttoria del 2 maggio 2023. Il comportamento è stato ritenuto indice di una non adeguata gestione dei canali di comunicazione, in particolare della PEC, con aggravio dell’attività istruttoria e compromissione dell’effettivo esercizio dei diritti dell’interessato.

Quanto alla permanenza dei dati sul sito, il Garante ha osservato che il profilo dell’interessato risultava ancora rinvenibile il 17 luglio 2023, quindi oltre un anno dopo la richiesta di recesso del 4 luglio 2022, e in assenza di un’idonea base giuridica. La conservazione prolungata è stata ritenuta contrastare con i principi di finalità, minimizzazione e limitazione della conservazione.

Sanzione amministrativa e criteri di quantificazione

Poiché le condotte riguardavano trattamenti collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, ritenendo operante il limite della sanzione riferita alla violazione più grave, individuata nell’ambito dell’art. 83, par. 5.

Nella determinazione dell’importo, l’Autorità ha richiamato i criteri dell’art. 83, par. 1 e 2 GDPR. Tra le aggravanti sono stati considerati:

• la gravità della condotta, qualificata come gravemente colposa;
• la scarsa cooperazione con l’Autorità;
• la noncuranza manifestata rispetto alle richieste dell’interessato e dell’Autorità.

Tra le attenuanti sono stati invece considerati:

• il carattere isolato della vicenda, nata da un solo reclamo;
• l’avvenuta cancellazione, seppur tardiva, dei dati;
• l’assenza di precedenti procedimenti a carico del titolare;
• la natura dei dati trattati, limitati a dati comuni;
• la capacità economica dell’impresa.

All’esito, è stata irrogata la sanzione amministrativa pecuniaria di euro 5.000, pari allo 0,025% della sanzione edittale massima di 20 milioni di euro.

Misure correttive, pubblicazione e rimedi

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al titolare di adottare misure tecniche e organizzative adeguate per fornire riscontro alle richieste di esercizio dei diritti, con particolare presidio dell’indirizzo PEC dedicato.

Inoltre, ai sensi dell’art. 157 del Codice, l’impresa deve comunicare all’Autorità, entro 30 giorni dalla notifica del provvedimento, le iniziative intraprese per dare attuazione alle misure imposte; l’omesso adempimento può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, GDPR.

È stata disposta anche la pubblicazione integrale del provvedimento sul sito del Garante, quale sanzione accessoria, nonché l’annotazione delle violazioni nel registro interno dell’Autorità. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.