Ordinanza ingiunzione o revoca n. 391 del 24/11/2022

STS Di Prisinzano s.r.l.: sanzione per informativa privacy carente nel servizio di soccorso stradale

Il provvedimento concerne STS Di Prisinzano s.r.l. ed è stato adottato a seguito di reclamo presentato da una interessata in relazione al trattamento dei dati raccolti durante un intervento di soccorso stradale. L’Autorità ha accertato una violazione degli obblighi informativi previsti dal GDPR e ha irrogato una sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

Il reclamo, presentato ai sensi dell’art. 77 GDPR, contestava alla società di non aver fornito una informativa idonea ai sensi dell’art. 13 GDPR nel contesto della raccolta dei dati personali della reclamante. La società, interpellata dal Garante, ha sostenuto di aver già assolto all’obbligo informativo tramite il sito web istituzionale e mediante un richiamo all’art. 13 inserito nella cosiddetta "scheda lavoro" compilata al momento del soccorso.

Nel corso del procedimento la società ha inoltre riscontrato la richiesta di esercizio dei diritti formulata dall’interessata, precisando che i dati in proprio possesso erano limitati a nome, cognome, codice fiscale, numero di telefono ed email, e che tali dati erano stati usati per preventivo e fattura, con cessazione del trattamento.

Trattamenti esaminati

Dall’istruttoria è emerso che la società effettuava il trattamento dei dati dell’interessata mediante un modulo denominato "scheda lavoro", nel quale venivano raccolti:

• nome e cognome;
• indirizzo e-mail;
• numero di telefono;
• dati relativi all’autovettura, quali targa e modello.

Il trattamento era connesso all’erogazione del servizio di soccorso stradale e alla gestione dei relativi documenti operativi e contabili.

Violazioni accertate in materia di informativa

Il Garante ha ritenuto che la dicitura riportata nella scheda lavoro, limitata alla formula "Autorizzo il trattamento dei dati personali ai sensi dell’art. 13 del d.lgs. 101/2018 e del GDPR Regolamento UE 679/2016", fosse del tutto insufficiente a integrare l’informativa richiesta dall’art. 13 GDPR. Tale formula è stata considerata generica e priva delle informazioni essenziali che devono essere rese all’interessato.

Anche l’informativa pubblicata sul sito web è stata giudicata inidonea, poiché:

• non era aggiornata e conteneva riferimenti alla normativa precedente al GDPR;
• era riferita solo ai trattamenti effettuati tramite web, ai dati di navigazione e ai cookie;
• non menzionava gli altri trattamenti svolti dalla società, inclusi quelli effettuati mediante le schede lavoro.

Valutazione giuridica del Garante

L’Autorità ha richiamato il principio di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR, nonché l’art. 12, par. 1, GDPR, che impone che le informazioni siano fornite in forma concisa, trasparente, intellegibile e facilmente accessibile, con linguaggio semplice e chiaro. Nel caso concreto, tali requisiti sono stati ritenuti non rispettati.

Sulla base di tali elementi, il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Sanzione pecuniaria e criteri di quantificazione

Per la quantificazione della sanzione, il Garante ha applicato i criteri di cui all’art. 83, par. 1 e 2, GDPR, valorizzando:

• la natura della violazione, consistente nell’omessa/inesatta informativa agli interessati;
• l’estensione della criticità, che riguardava in generale i trattamenti di tutti i clienti fino all’adeguamento intervenuto nel corso del procedimento;
• l’assenza di precedenti violazioni pertinenti;
• le misure di adeguamento successivamente adottate dalla società;
• il grado di cooperazione fornito nel corso dell’istruttoria;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2020.

All’esito, è stata determinata una sanzione pecuniaria pari a euro 1.000,00 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Dispositivo e adempimenti

Il Garante ha ordinato alla società di pagare la sanzione di euro 1.000,00 entro 30 giorni dalla notifica del provvedimento, con le modalità indicate in allegato, avvertendo che in difetto si procederà agli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981.

È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019.

Mezzi di impugnazione

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.