Ordinanza ingiunzione o revoca n. 64 del 08/02/2024

WiPlanet sas: mancato riscontro a un’istanza di accesso e sanzione del Garante

Il provvedimento riguarda Wi-Planet sas di Torri Carlo Alberto e C., destinataria di un reclamo per la mancata risposta a un’istanza di accesso ai dati personali presentata da un interessato ai sensi dell’art. 15 GDPR. L’Autorità ha accertato la violazione degli obblighi di riscontro previsti dagli artt. 12 e 15 GDPR e ha adottato sia misure correttive sia una sanzione amministrativa pecuniaria.

Origine del procedimento e svolgimento dell’istruttoria

L’interessato aveva formulato in data 3 luglio 2020 un’istanza di accesso relativa ai dati personali raccolti dalla società in occasione della stipula di un contratto commerciale. La richiesta, regolarmente inviata all’indirizzo PEC della società, non era stata riscontrata entro il termine di un mese previsto dall’art. 12, par. 3, GDPR.

A seguito del reclamo presentato il 6 ottobre 2020 e regolarizzato il 21 dicembre 2020, l’Ufficio ha chiesto osservazioni alla società e l’adesione alle richieste dell’interessato. La società ha riconosciuto che la richiesta era sfuggita all’amministrazione per un errore dovuto alle difficoltà organizzative connesse all’emergenza pandemica. Ha indicato le categorie di dati trattati, le finalità, i tempi di conservazione e alcuni destinatari interni, ma senza fornire il dettaglio dei dati riferiti all’interessato.

Trattamenti esaminati e diritti coinvolti

Il trattamento scrutinato dal Garante consiste nel mancato riscontro all’istanza di esercizio dei diritti e, successivamente, nel riscontro incompleto fornito nel corso del procedimento. Il caso attiene in particolare al diritto di accesso di cui all’art. 15 GDPR, che comprende non solo la conferma dell’esistenza di un trattamento, ma anche l’accesso ai dati personali e alle informazioni previste dalla norma.

L’art. 12 GDPR impone al titolare di fornire riscontro senza ingiustificato ritardo e comunque entro un mese; in caso di proroga o di diniego, il titolare deve informare l’interessato dei motivi e della possibilità di reclamo e ricorso. Nel caso esaminato, la società non ha adempiuto a tali obblighi.

Violazioni accertate dal Garante

L’Autorità ha ritenuto accertata la violazione degli artt. 12, par. 3, e 15 GDPR per due ordini di ragioni:

• assenza di qualsiasi riscontro all’istanza nel termine di legge, compresa l’omissione dei motivi dell’inottemperanza;
• successivo riscontro solo parziale, privo dell’indicazione dei dati specifici oggetto di trattamento.

Il Garante ha sottolineato che l’interessato deve poter verificare concretamente la correttezza e l’esattezza dei propri dati; una mera elencazione di categorie informative non è sufficiente a soddisfare il diritto di accesso.

Valutazioni sulla responsabilità e sulle difese della società

La società ha invocato un errore materiale e generiche difficoltà organizzative dovute alla pandemia. Il Garante ha ritenuto tali giustificazioni non idonee a escludere la responsabilità, in quanto generiche e non supportate da elementi concreti, oltre che riconducibili a una condotta omissiva.

È stata invece considerata positivamente la circostanza che la società avesse predisposto misure tecniche e organizzative per agevolare l’esercizio dei diritti degli interessati, indicando anche un referente interno per la gestione delle richieste di accesso.

Esiti del procedimento, sanzione e prescrizioni

Il Garante ha dichiarato illecito il trattamento effettuato e ha ritenuto il reclamo fondato. Nell’esercizio dei poteri correttivi di cui all’art. 58, par. 2, GDPR, ha:

• ingiunto alla società di fornire riscontro all’istanza di accesso con riferimento ai dati personali ancora in suo possesso;
• applicato una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR.

La sanzione è stata determinata in euro 5.000, tenendo conto, ai sensi dell’art. 83, par. 2, GDPR, della natura, gravità e durata della violazione, dell’assenza di precedenti, del grado di cooperazione e della circostanza che il caso riguardava un solo interessato. L’Autorità ha inoltre considerato le condizioni economiche della società sulla base dei ricavi risultanti dal bilancio 2020.

Ulteriori adempimenti e tutela giurisdizionale

Il provvedimento dispone la pubblicazione sul sito istituzionale del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019. La società deve comunicare, entro 40 giorni dalla notifica, le iniziative intraprese per dare esecuzione al provvedimento, con avvertimento che l’eventuale mancato riscontro può comportare ulteriori sanzioni.

È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge, nonché la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.