Prescrizioni del Garante n. 705 del 14/11/2024

Prima Assicurazioni S.p.A. - ammonimento per mancato riscontro a istanza di accesso

Il provvedimento riguarda Prima Assicurazioni S.p.A., quale titolare del trattamento, e trae origine da un reclamo dell'interessata per il mancato riscontro a una richiesta di accesso ai dati personali ex art. 15 GDPR relativa a un sinistro stradale. L'Autorità ha accertato la violazione degli obblighi di risposta e di informazione previsti dall'art. 12 GDPR, pur prendendo atto che la società ha poi fornito i dati nel corso dell'istruttoria.

Fatti e origine del reclamo

La reclamante aveva chiesto alla società l'accesso ai dati personali che la riguardavano contenuti nella documentazione del sinistro che aveva coinvolto il veicolo di sua proprietà. Secondo quanto lamentato, la società aveva inizialmente omesso di fornire un riscontro adeguato e aveva comunicato la cancellazione dei dati "come da Sua richiesta". Dopo l'intervento dell'Ufficio, Prima Assicurazioni ha trasmesso l'informazione richiesta e copia di documenti contenenti dati personali dell'interessata, riferendo che il disguido era dipeso da un errore umano nella presa in carico e catalogazione della richiesta.

Attività istruttoria e difese della società

Con l'avvio del procedimento sanzionatorio notificato il 3 settembre 2024, il Garante ha contestato la violazione degli artt. 12, par. 3 e 4, e 15 GDPR. Nelle difese del 2 ottobre 2024 la società ha sostenuto che si trattasse di un episodio isolato, legato a un errore umano, e ha evidenziato di avere:

• adottato interventi correttivi e formativi verso l'operatore coinvolto;
• avviato una campagna di sensibilizzazione interna sulla gestione delle istanze ex artt. 15-22 GDPR;
• introdotto nuovi controlli campionari di secondo livello sulle attività del back office per verificare correttezza formale, contenutistica e tempestività delle risposte.

Violazioni accertate

Il Garante ha ritenuto che:

• la società non avesse risposto entro un mese dalla richiesta, in violazione dell'art. 12, par. 3 GDPR;
• non avesse informato l'interessata, entro il medesimo termine, delle ragioni dell'eventuale mancato riscontro e dei rimedi esperibili, in violazione dell'art. 12, par. 4 GDPR;
• il diritto di accesso ex art. 15 GDPR fosse stato soddisfatto solo successivamente, a seguito del reclamo e dell'istruttoria.

L'Autorità ha escluso che l'errore umano potesse escludere la responsabilità del titolare, ribadendo che il diritto di accesso consente all'interessato di verificare correttezza e completezza dei dati trattati.

Valutazione della gravità e scelta della misura

Pur dichiarando illecito il trattamento per violazione degli artt. 12, par. 3 e 4, e 15 GDPR, il Garante ha considerato la violazione come "minore" ai sensi dell'art. 83, par. 2, e del considerando 148 GDPR, valorizzando:

• la colpa e non il dolo;
• il coinvolgimento di un solo interessato;
• la natura di dati comuni;
• la collaborazione della società;
• l'assenza di precedenti pertinenti;
• le misure organizzative dichiarate per prevenire il ripetersi dell'errore.

Per questo motivo, non ha ritenuto necessario adottare un ordine di conformazione ex art. 58, par. 2, lett. c) o d), poiché la società aveva già evaso l'istanza.

Dispositivo e adempimenti conseguenti

Il Garante ha quindi:

• rilevato l'illiceità del trattamento effettuato da Prima Assicurazioni S.p.A. per violazione degli artt. 12, par. 3 e 15 GDPR;
• ammonito la società ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 del Codice privacy;
• disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell'art. 154-bis, comma 3, del Codice;
• ordinato l'annotazione della violazione nel registro interno dell'Autorità ex art. 57, par. 1, lett. u), GDPR e art. 17 del Regolamento del Garante n. 1/2019.

È infine richiamata la possibilità di opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.