Ordinanza ingiunzione o revoca n. 802 del 19/12/2024

Studio Riabilitazione Creditizia s.r.l.s.: trattamento illecito di dati dei clienti, conservazione indebita, responsabili e RPD

Il provvedimento riguarda Studio Riabilitazione Creditizia s.r.l.s., attiva nel settore della gestione di pratiche per la cancellazione di segnalazioni nelle centrali rischi. L’istruttoria trae origine da una segnalazione di Banca d’Italia e da successivi accertamenti ispettivi, che hanno evidenziato plurime criticità nel trattamento dei dati personali di clienti e potenziali clienti.

Origine del procedimento e accertamenti ispettivi

L’Autorità ha avviato controlli nell’ambito dei poteri ex art. 58, par. 1, GDPR e artt. 157 e 158 del Codice privacy, a seguito della segnalazione della Banca d’Italia circa numerose richieste di accesso alla Centrale rischi effettuate dal legale rappresentante della società per conto di persone fisiche, senza effettiva legittimazione.

Nel corso dell’ispezione del 13 giugno 2023, e delle successive acquisizioni documentali e informative, è emerso che la società:

• opera prevalentemente tramite sito web e contatto telefonico iniziale;
• acquisisce dati anagrafici e documentazione dei clienti in un CRM aziendale;
• effettua istanze di accesso a centrali rischi pubbliche e private sulla base di deleghe e moduli firmati;
• conserva nel database anche dati provenienti da società precedenti riconducibili allo stesso soggetto, senza una chiara separazione tra le diverse basi di raccolta.

La società non ha inoltre dato riscontro a una richiesta di informazioni del Garante ex art. 157 del Codice, circostanza che ha imposto l’intervento del Nucleo speciale privacy della Guardia di finanza per la notifica degli atti e l’acquisizione degli elementi istruttori.

Trattamenti esaminati e criticità del sistema informativo

Il CRM esaminato conteneva dati di oltre 74.000 posizioni, con informazioni anagrafiche, di contatto, identificative, relative allo stato della pratica e dei pagamenti, nonché i report ricevuti da banche e società interpellate nelle visure. L’accesso al sistema era consentito solo dai locali della società, con username e password, ma il tema centrale non riguardava la sola sicurezza logica: l’Autorità ha soprattutto rilevato l’assenza di una governance conforme del trattamento.

In particolare, nel CRM confluivano anche dati riferibili a società che negli anni si erano succedute nell’esercizio di servizi analoghi, ma la società non era in grado di distinguere, per singolo cliente, quale soggetto avesse originariamente raccolto i dati. La stessa struttura documentale cartacea risultava gestita in modo indifferenziato.

Violazione degli artt. 5, par. 1, lett. a), e 14 GDPR: trasparenza e informativa sui dati non raccolti presso l’interessato

Il Garante ha ritenuto che, per i dati personali non raccolti direttamente presso l’interessato ma provenienti da altre società riconducibili allo stesso soggetto, non fosse stata dimostrata la corretta informativa ex art. 14 GDPR nei tempi e con i contenuti prescritti.

La società sosteneva di rendere l’informativa:

• telefonicamente al primo contatto;
• al momento della sottoscrizione del mandato e della delega;
• mediante pubblicazione sul sito web.

Tuttavia, il punto decisivo è che, per i dati confluiti nel CRM da precedenti società, non risultava provato che gli interessati avessero ricevuto tutte le informazioni dovute ai sensi dell’art. 14, parr. 1-3 GDPR. Ne è derivata la violazione del principio di lealtà, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Violazione dell’art. 5, par. 1, lett. e) GDPR: conservazione eccedente e mancanza di termini definiti

È stata inoltre accertata la violazione del principio di limitazione della conservazione. L’informativa, in astratto, dichiarava che i dati sarebbero stati conservati per un periodo non superiore a quello necessario e poi cancellati o anonimizzati; nella realtà, la società non aveva stabilito procedure sistematiche di cancellazione né tempi di retention coerenti con le finalità dichiarate.

In particolare:

• i dati di clienti e potenziali clienti erano conservati indefinitamente nel CRM;
• i fascicoli cartacei venivano mantenuti in sede o in un magazzino senza regole di eliminazione periodica;
• non risultava effettuata la cancellazione dei dati di soggetti che avevano chiesto solo informazioni e non avevano mai concluso un rapporto contrattuale;
• la società aveva solo genericamente dichiarato, in fase ispettiva, l’intenzione di cancellare i dati non più necessari, senza però fornire garanzie concrete o un piano verificabile.

Secondo il Garante, la durata del trattamento non era stata correlata alle finalità iniziali e non era stato rispettato il requisito di conservazione per un arco di tempo non superiore al necessario.

Violazione dell’art. 28 GDPR: rapporti con i responsabili del trattamento non adeguatamente disciplinati

L’Autorità ha riscontrato che taluni trattamenti venivano svolti per conto della società da altri soggetti, ma senza un’adeguata disciplina contrattuale conforme all’art. 28 GDPR.

In particolare, risultavano coinvolti:

• una società collegata al medesimo soggetto che operava sul trattamento dati per conto della società;
• un’altra società riconducibile allo stesso imprenditore;
• professionisti esterni, legali o fiscali, incaricati di svolgere attività presso uffici pubblici o presso la Camera di commercio sulla base di deleghe cartacee.

Le “lettere di incarico a responsabile del trattamento” non erano considerate sufficienti, perché rinviavano a contratti non prodotti e comunque non definivano in modo puntuale materia, durata, natura, finalità, tipo di dati, categorie di interessati, obblighi e diritti del titolare, come richiesto dall’art. 28, par. 3, GDPR. La società è stata quindi ritenuta in violazione dell’art. 28 GDPR.

Violazione degli artt. 37 e 38 GDPR: RPD incompatibile e mancata comunicazione all’Autorità

La società aveva designato un Responsabile della protezione dei dati individuandolo nel proprio rappresentante legale. Il Garante ha ritenuto tale scelta incompatibile con la natura indipendente della funzione, poiché chi determina finalità e mezzi del trattamento non può al contempo svolgere un ruolo di controllo e vigilanza interno in posizione di autonomia.

Inoltre, la società non aveva comunicato all’Autorità i dati di contatto dell’RPD, in violazione dell’art. 37, par. 7, GDPR. L’Autorità ha richiamato anche le Linee guida del WP29 sui DPO, secondo cui, anche quando la designazione è volontaria, si applicano i requisiti degli artt. 37-39 GDPR come se la designazione fosse obbligatoria.

Violazione degli artt. 5, par. 2, e 24 GDPR: accountability e misure organizzative inadeguate

Dall’insieme dei rilievi è emersa una generale inadeguatezza del sistema di compliance privacy. Il Garante ha quindi ravvisato anche la violazione del principio di responsabilizzazione.

In concreto, il titolare non aveva predisposto un sistema organizzativo e gestionale idoneo a dimostrare la conformità al Regolamento, mancando in particolare:

• una corretta regolazione dei rapporti con i responsabili del trattamento;
• procedure effettive di conservazione e cancellazione;
• una corretta designazione del RPD;
• riscontri collaborativi alle richieste dell’Autorità.

Violazione dell’art. 157 del Codice privacy

La società non ha risposto nei termini a una richiesta di informazioni del Garante. Tale omissione ha aggravato il procedimento e comporta, ai sensi dell’art. 166, comma 2, del Codice, l’applicazione della sanzione amministrativa di cui all’art. 83, par. 5, GDPR.

Valutazioni del Garante e illecito trattamento

Il Garante ha concluso che il trattamento effettuato dalla società è illecito, per violazione degli artt. 5, par. 1, lett. a) ed e), 5, par. 2, 14, 24, 28, 37 e 38 GDPR e dell’art. 157 del Codice.

La violazione non è stata considerata minore, in ragione:

• della natura dei principi coinvolti;
• della durata e della diffusione dei trattamenti;
• del numero elevato di interessati coinvolti;
• della scarsa collaborazione della società nel corso del procedimento.

Sanzione pecuniaria e criteri di quantificazione

Applicando l’art. 83 GDPR, il Garante ha ritenuto di irrogare una sanzione amministrativa pecuniaria di 70.000 euro.

Nella quantificazione sono stati considerati, in particolare:

• la natura, gravità e durata delle violazioni;
• il carattere quantomeno colposo della condotta;
• il numero degli interessati coinvolti, stimato in circa 74.000;
• la scarsa collaborazione con l’Autorità;
• l’assenza di precedenti specifici;
• le condizioni economiche del contravventore, desunte dal bilancio 2023.

Il Garante ha altresì applicato il criterio dell’art. 83, par. 3, GDPR, in presenza di più violazioni connesse allo stesso trattamento.

Prescrizioni correttive e termini di adempimento

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, la società è stata prescritta di conformarsi entro 90 giorni dalla notifica del provvedimento e di documentare all’Autorità le iniziative intraprese.

Le misure richieste sono:

• predisporre una procedura sulla conservazione dei dati dei clienti, con termini e criteri di cancellazione;
• cancellare i dati non più necessari, in particolare quelli di chi ha contattato la società senza poi usufruire dei servizi;
• cancellare i dati per i quali la società aveva già dichiarato l’intenzione di eliminazione e per i quali sono decorsi i termini di legge;
• disciplinare correttamente i rapporti con i soggetti che trattano dati per conto del titolare mediante contratto o altro atto giuridico conforme all’art. 28, par. 3, GDPR;
• se la società intende designare un RPD, nominare un soggetto idoneo e compatibile ai sensi degli artt. 37, 38 e 39 GDPR.

Dispositivo finale, pubblicazione e ricorsi

L’Autorità ha ordinato alla società il pagamento della sanzione di 70.000 euro entro 30 giorni dalla notifica del provvedimento, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge.

Ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno.

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.