Prescrizioni del Garante n. 225 del 01/06/2023

ATER Chieti: mancato riscontro a un’istanza di accesso ai dati personali

Il Garante ha esaminato un reclamo presentato contro ATER Chieti in relazione al mancato riscontro a una richiesta di accesso ai dati personali formulata da un assegnatario di un alloggio di edilizia residenziale pubblica. Il procedimento ha riguardato, in particolare, la gestione dei dati connessi alla locazione e la necessità di chiarire il soggetto titolare del trattamento e la proprietà dell’immobile.

Fatto e origine del reclamo

L’interessato aveva presentato un’istanza ex art. 15 GDPR per ottenere conferma del trattamento dei propri dati e conoscere, tra l’altro, a che titolo ATER Chieti li trattasse. La richiesta si inseriva in una vicenda relativa all’acquisto dell’alloggio assegnato e alla necessità di comprendere chi fosse il soggetto proprietario dell’immobile, anche alla luce di comunicazioni contrastanti tra ATER Chieti e il Comune di Guardiagrele. Non avendo ricevuto riscontro, l’interessato si è rivolto al Garante ai sensi dell’art. 77 GDPR.

Attività istruttoria

L’Autorità ha preliminarmente invitato ATER Chieti ad aderire alla richiesta dell’interessato, reiterando poi l’invito senza ottenere risposta. Successivamente ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la mancata risposta all’esercizio dei diritti e la violazione del principio di liceità, correttezza e trasparenza.

ATER Chieti ha chiesto di essere sentita e, in audizione, ha rappresentato che:

• il trattamento dei dati dell’interessato era fondato sull’esecuzione del contratto di locazione;
• i dati erano stati acquisiti nell’ambito di una procedura pubblica per l’assegnazione degli immobili in locazione;
• l’informativa privacy era disponibile presso gli uffici e sul sito istituzionale;
• la mancata risposta era dipesa dall’attesa di chiarimenti del Comune di Guardiagrele sulla proprietà dell’alloggio, per evitare di fornire una comunicazione ritenuta fuorviante.

Con nota integrativa, l’Azienda ha inoltre prodotto il contratto di locazione e ha riferito di aver contattato il Comune per definire la proprietà dell’alloggio e poter riscontrare l’istanza. È emerso, altresì, che il Comune di Guardiagrele aveva avviato interlocuzioni con il reclamante per chiarire la situazione e sanare le problematiche amministrative e di titolarità.

Valutazioni del Garante

Il Garante ha ricordato che, per i soggetti pubblici o gestori di pubblici servizi, il trattamento è lecito, di regola, se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR. Tuttavia, anche in presenza di una base giuridica, deve essere rispettato il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

In applicazione dell’art. 12, par. 3, GDPR, il titolare o presunto titolare deve riscontrare la richiesta dell’interessato senza ingiustificato ritardo e comunque entro un mese; se non intende ottemperare, deve comunque informare l’interessato, entro il medesimo termine, dei motivi del mancato riscontro e della possibilità di reclamo e ricorso. Secondo l’Autorità, ATER Chieti avrebbe potuto e dovuto fornire almeno un riscontro interlocutorio o motivare il ritardo e i dubbi sulla propria titolarità, invece di mantenere il silenzio.

Il Garante ha quindi accertato la violazione degli artt. 5, 12, parr. 3 e 4, e 15 GDPR, osservando che il comportamento dell’Azienda aveva rallentato la soluzione della vicenda e non poteva essere giustificato dall’incertezza sulla proprietà dell’immobile.

Esito del procedimento e misura adottata

Pur rilevando l’illiceità del trattamento, il Garante ha considerato alcune circostanze attenuanti:

• la violazione riguardava un solo interessato;
• l’informativa privacy risultava comunque disponibile presso gli uffici e sul sito;
• la violazione era di carattere colposo;
• l’Azienda si era attivata per rimediare e cooperare con il Comune di Guardiagrele;
• non risultavano precedenti violazioni pertinenti o precedenti provvedimenti ex art. 58 GDPR.

Richiamando il considerando 148 GDPR e le Linee guida WP 253 sulle sanzioni amministrative pecuniarie, il Garante ha qualificato la fattispecie come "violazione minore" e ha ritenuto sufficiente ammonire ATER Chieti ai sensi dell’art. 58, par. 2, lett. b), GDPR. Ha inoltre escluso l’adozione di ulteriori misure correttive, osservando che la condotta aveva ormai esaurito i suoi effetti.

Dispositivo e rimedi impugnatori

Nel dispositivo il Garante:

• ha dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato da ATER Chieti per violazione degli artt. 5, 12, parr. 3 e 4, e 15 GDPR;
• ha ammonito l’Azienda ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• ha rilevato la ricorrenza dei presupposti di cui all’art. 17 del Regolamento n. 1/2019.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero, ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.