Prescrizioni del Garante n. 39 del 30/01/2025

Italia Trasporto Aereo S.p.A. - ritardo nel riscontro a un’istanza di accesso ex art. 15 GDPR

Il provvedimento origina dal reclamo di un interessato che lamentava la mancata risposta, nei termini di legge, a una richiesta di accesso ai propri dati personali presentata a Italia Trasporto Aereo S.p.A. Il Garante ha esaminato la tempistica e il contenuto del riscontro fornito dalla società, nonché le giustificazioni addotte nel corso dell’istruttoria.

Origine del reclamo e attività istruttoria

Il reclamante aveva inoltrato l’istanza di esercizio dei diritti il 1° giugno 2023 e, non avendo ricevuto un riscontro tempestivo, si era rivolto al Garante il 14 luglio 2023 ai sensi dell’art. 77 GDPR. L’Autorità ha quindi avviato l’istruttoria e, con nota del 6 settembre 2023, ha invitato ITA ad aderire all’istanza.

ITA ha poi comunicato di aver risposto il 24 agosto 2023, dichiarando di non avere rinvenuto nei propri sistemi, alla data della richiesta, trattamenti di dati personali riferibili all’interessato. La società ha inoltre rappresentato che l’istanza si inseriva in un più ampio numero di richieste analoghe, provenienti anche tramite uno studio legale, e che alcune erano connesse a vicende sottoposte all’attenzione della magistratura penale.

Condotta contestata e giustificazioni addotte

Secondo la società, l’ufficio competente aveva ritenuto di applicare la proroga di ulteriori due mesi prevista dall’art. 12, par. 3, GDPR, ma per un errore materiale non aveva informato l’interessato di tale scelta. ITA ha attribuito il disallineamento anche al periodo estivo, alle assenze per ferie e all’elevato numero di istanze automatizzate ricevute, che avrebbero congestionato il processo di gestione.

Nel corso del procedimento la società ha inoltre descritto alcune misure organizzative introdotte per prevenire il ripetersi di ritardi analoghi, tra cui:

• una procedura specifica per la gestione delle istanze ex artt. 15-22 GDPR;
• sessioni di formazione per i soggetti incaricati, anche con coinvolgimento delle figure apicali;
• uno strumento di monitoraggio delle pratiche e delle relative scadenze;
• un sistema di primo filtro per le richieste massivamente inviate da strumenti automatizzati.

Valutazioni del Garante

L’Autorità ha preso atto delle dichiarazioni rese dalla società, ricordando che la veridicità delle stesse è presidiata dall’art. 168 del Codice. Tuttavia, dagli atti è emerso che il riscontro è stato fornito oltre il termine di un mese previsto dall’art. 12, par. 3, GDPR e solo a seguito del reclamo e di ulteriori solleciti dell’interessato.

Il Garante ha quindi ritenuto integrata la violazione degli artt. 12, par. 3, e 15 GDPR, richiamando la possibilità di applicare la sanzione amministrativa di cui all’art. 83, par. 5, lett. b), GDPR. Ai fini della valutazione ex art. 83, par. 2, GDPR, ha considerato che:

• la violazione non riguardava categorie particolari di dati personali;
• l’episodio era unico e riferito a un solo interessato;
• il ritardo era limitato a 10 giorni solari;
• la condotta era connotata da colpa, dovuta a un errore materiale e a una congestione organizzativa;
• ITA aveva collaborato con l’Autorità;
• non risultavano precedenti specifici per la medesima fattispecie;
• nel frattempo erano state adottate misure organizzative correttive.

Alla luce di tali elementi, la fattispecie è stata qualificata come “violazione minore” ai sensi dell’art. 83, par. 2, e del cons. 148 GDPR.

Decisione finale e conseguenze

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Italia Trasporto Aereo S.p.A. nei termini indicati in motivazione, per la violazione degli artt. 12, par. 3, e 15 GDPR, e ha ammonito la società ai sensi dell’art. 58, par. 2, lett. b), GDPR per l’omesso tempestivo riscontro all’istanza di accesso.

Non sono state disposte ulteriori misure correttive, poiché la società aveva già fornito un riscontro idoneo all’interessato nel corso del procedimento. È stata inoltre prevista l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, nonché la pubblicazione del provvedimento sul sito istituzionale.

Tutela giurisdizionale

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria, nei termini di cui all’art. 78 GDPR, agli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.