Ordinanza ingiunzione o revoca n. 322 del 06/10/2022

Codess Sociale - mancato riscontro a richiesta di cancellazione dei dati personali

Il Garante ha esaminato il reclamo di un ex socio volontario di Codess Sociale, Soc. Coop. sociale, relativo alla mancata risposta a una richiesta di cancellazione dei dati personali formulata dopo le dimissioni dal servizio. Il procedimento si è concluso con l’accertamento della violazione degli artt. 12 e 17 GDPR e con l’irrogazione di una sanzione amministrativa pecuniaria di 10.000 euro.

Origine del reclamo e fatti contestati

L’interessato aveva presentato alla Società, in data 17 settembre 2020, una comunicazione avente ad oggetto le dimissioni da socio volontario, chiedendo contestualmente la cancellazione dei propri dati personali dagli archivi fisici e informatici. A fronte di tale richiesta, aveva ricevuto solo una comunicazione di presa d’atto delle dimissioni, senza alcun riscontro specifico sulla cancellazione dei dati.

Successivamente, l’interessato ha proposto reclamo al Garante ai sensi dell’art. 77 GDPR, lamentando il mancato esercizio del diritto richiesto.

Posizione della Società

Nel corso dell’istruttoria, Codess Sociale ha sostenuto che la comunicazione non fosse una valida istanza di esercizio dei diritti, perché:

• non indirizzata formalmente al titolare del trattamento o al DPO;
• consegnata a mano presso una struttura periferica;
• formulata, a suo dire, come semplice dimissione e non come richiesta formale di cancellazione.

La Società ha anche affermato di aver fornito al volontario un’informativa ex art. 13 GDPR nella quale era indicato un periodo di conservazione dei dati fino a 120 mesi dalla cessazione dell’attività di volontariato e di aver comunque provveduto alla chiusura dell’area riservata del sito e alla cancellazione del nominativo dal libro soci.

Valutazioni del Garante sull’istanza e sui termini di risposta

L’Autorità ha ritenuto infondata l’eccezione della Società relativa alla forma e alla destinazione della comunicazione. La richiesta del 17 settembre 2020, avente come oggetto "Dimissioni" ma contenente anche la domanda di cancellazione dei dati, era stata correttamente ricevuta dalla Società, che vi aveva dato riscontro con una lettera di presa d’atto delle dimissioni. Inoltre, dagli atti risultava che il reclamante aveva sollecitato il titolare e che la struttura aveva confermato la trasmissione della documentazione agli uffici competenti.

Il Garante ha quindi ricordato che il titolare del trattamento deve:

• agevolare l’esercizio dei diritti dell’interessato ai sensi degli artt. 15-22 GDPR;
• fornire riscontro senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, ai sensi dell’art. 12, par. 3 GDPR;
• ove non possa ottemperare, informare senza ritardo e comunque entro un mese l’interessato dei motivi dell’inottemperanza e della possibilità di reclamo e ricorso, ai sensi dell’art. 12, par. 4 GDPR.

Nel caso concreto, la Società non aveva fornito un riscontro tempestivo alla richiesta di cancellazione e aveva informato l’interessato sulle ragioni del mancato accoglimento solo a seguito dell’intervento dell’Autorità.

Illiceità del trattamento e fondamento normativo

Il Garante ha concluso che il comportamento del titolare costituiva un trattamento illecito nei termini contestati, in quanto contrario all’art. 12 GDPR in relazione al diritto alla cancellazione di cui all’art. 17 GDPR.

Le difese della Società non sono state ritenute idonee a superare i rilievi formulati nell’atto di avvio del procedimento.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha applicato una sanzione amministrativa pecuniaria di 10.000 euro, ai sensi dell’art. 83, par. 5 GDPR e dell’art. 58, par. 2 GDPR, richiamando i criteri di cui all’art. 83, par. 1 e 2 GDPR.

Nella determinazione dell’importo sono stati considerati:

• la natura della violazione, relativa all’esercizio dei diritti dell’interessato;
• la durata della violazione, protrattasi per un lungo periodo;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione fornito dalla Società nel procedimento;
• la natura sociale dell’attività svolta;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2021.

Provvedimenti conseguenti e rimedi

Il Garante ha ordinato alla Società di pagare la sanzione di 10.000 euro entro 30 giorni dalla notifica del provvedimento, con applicazione delle modalità di pagamento indicate in allegato. È stata inoltre richiamata la facoltà di definire la controversia mediante pagamento in misura ridotta pari alla metà della sanzione nei termini previsti dalla normativa richiamata.

Infine, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito internet, ritenendo sussistenti i presupposti previsti dal regolamento interno n. 1/2019.