Ordinanza ingiunzione o revoca n. 402 del 14/09/2023

Intesa Sanpaolo S.p.a. - ritardo nel riscontro a un'istanza di accesso ai dati personali del figlio minore

Il provvedimento riguarda un reclamo presentato nei confronti di Intesa Sanpaolo S.p.a. per il mancato tempestivo riscontro a una richiesta di accesso ai dati personali riferiti a un minore, avanzata dal genitore nell'esercizio della potestà genitoriale. L'istruttoria si è concentrata sulla corretta applicazione degli artt. 12 e 15 GDPR e sulle conseguenze del ritardo nella gestione dell'istanza.

Origine del reclamo e svolgimento dell'istruttoria

Il reclamante aveva inviato una richiesta di accesso ai dati personali del figlio minore, lamentando di non aver ricevuto alcun riscontro nei termini di legge. A seguito dell'intervento dell'Autorità, la banca ha trasmesso le informazioni richieste e ha attribuito il ritardo a un errore operativo: la richiesta era stata inoltrata alla filiale di riferimento, ma non era poi stata trasferita alla funzione privacy competente per l'evasione.

Nel corso del procedimento, Intesa Sanpaolo ha rappresentato di aver predisposto un articolato framework interno per la gestione delle richieste di esercizio dei diritti, con canali dedicati per la ricezione delle istanze e ulteriori misure organizzative finalizzate a evitare smarrimenti o errate prese in carico. Ha inoltre evidenziato di aver successivamente fornito anche la documentazione bancaria richiesta ex art. 119 TUB, senza applicare le spese previste.

Norme applicate e quadro di riferimento

Il Garante ha richiamato l'art. 12 GDPR, che impone al titolare di adottare misure appropriate per agevolare l'esercizio dei diritti e di fornire riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta. In caso di mancato accoglimento, il titolare deve informare l'interessato, entro lo stesso termine, dei motivi dell'inottemperanza e della possibilità di proporre reclamo o ricorso.

È stato richiamato anche l'art. 15 GDPR, relativo al diritto di accesso, nonché le Guidelines 01/2022 dell'EDPB, in particolare il punto secondo cui il GDPR non impone agli interessati alcun formato specifico o canale obbligato per presentare la richiesta di accesso.

Valutazione del Garante

All'esito dell'istruttoria, l'Autorità ha ritenuto accertata la violazione dell'art. 12, par. 3 e 4, GDPR, poiché la banca non aveva riscontrato la richiesta nel termine di legge né aveva inviato una comunicazione formale di diniego o di ritardo con indicazione dei rimedi esperibili. Il fatto che il riscontro sia intervenuto solo dopo il reclamo non ha eliminato l'illecito, ma ha inciso sulla valutazione complessiva della condotta.

Il Garante ha ritenuto non sussistenti i presupposti per un ordine di soddisfacimento dell'istanza, poiché la banca aveva già fornito quanto richiesto durante il procedimento. Ha quindi adottato una declaratoria di illiceità del trattamento, senza ulteriori misure ingiuntive sul merito della richiesta originaria.

Sanzione amministrativa pecuniaria

In applicazione dell'art. 83, par. 5, lett. b), GDPR, il Garante ha irrogato una sanzione di 42.000 euro. Nella determinazione dell'importo sono stati considerati i criteri dell'art. 83, par. 2, GDPR, tra cui:

• la natura rilevante della violazione, incidente sull'esercizio dei diritti degli interessati;
• il grado di responsabilità del titolare, attenuato dal successivo riscontro;
• le misure adottate per limitare gli effetti negativi dell'illecito;
• la collaborazione prestata dall'istituto nel corso del procedimento;
• il numero limitato di interessati coinvolti;
• le misure organizzative introdotte per prevenire future omissioni;
• i precedenti provvedimenti del Garante già adottati nei confronti del titolare.

Dispositivo e adempimenti

Il Garante ha ordinato a Intesa Sanpaolo S.p.a. il pagamento della sanzione pecuniaria di 42.000 euro entro 30 giorni dalla notifica, con le modalità indicate in allegato, avvertendo che in caso di mancato pagamento si procederà agli atti esecutivi previsti dalla legge n. 689/1981. È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge.

Infine, l'Autorità ha disposto la pubblicazione del provvedimento sul sito istituzionale del Garante, ritenendo che ricorressero i presupposti previsti dalla normativa interna richiamata nel provvedimento stesso.