Prescrizioni del Garante n. 531 del 16/11/2023

Hype S.p.a. - trattamento illecito di dati da fonti aperte nell’adeguata verifica antiriciclaggio

Il Garante ha esaminato il reclamo presentato nei confronti di Hype S.p.a. in relazione a un trattamento di dati effettuato nell’ambito delle procedure di adeguata verifica della clientela ai fini antiriciclaggio. Il caso riguardava l’associazione, al nominativo del reclamante, di informazioni tratte da una fonte giornalistica riferite in realtà a un omonimo, con conseguente preavviso di recesso dal rapporto e contestata inadeguatezza dei riscontri forniti all’interessato.

Origine del procedimento e fatti contestati

Il reclamo ex art. 77 GDPR ha riguardato tre profili principali: la presunta violazione dei principi generali del Regolamento nel trattamento dei dati personali, il mancato riscontro puntuale alle istanze di accesso, limitazione e opposizione, e l’uso delle informazioni reperite online ai fini delle valutazioni di rischio antiriciclaggio. L’interessato aveva chiesto chiarimenti sull’origine dei dati dopo aver ricevuto un preavviso di recesso nel quale Hype faceva riferimento a presunte indagini penali risultanti da siti web pubblicamente accessibili.

Posizione della società nel corso dell’istruttoria

Hype ha sostenuto di avere sin da subito informato l’interessato sulla natura e sulla fonte delle informazioni, richiamando la propria informativa privacy e precisando che il trattamento era funzionale agli obblighi di adeguata verifica previsti dal d.lgs. 231/2007. La società ha affermato che l’articolo di stampa consultato proveniva da una fonte attendibile e che la corrispondenza di nome, età e area geografica rendeva plausibile l’associazione, tanto da giustificare il preavviso di recesso. Ha inoltre dichiarato che, ricevuti i chiarimenti, ha revocato il recesso e che l’opposizione al marketing è stata comunque soddisfatta.

Bilanciamento tra normativa antiriciclaggio e GDPR

L’Autorità ha richiamato il quadro europeo e nazionale in materia antiriciclaggio, sottolineando che esso impone un bilanciamento con i diritti fondamentali alla protezione dei dati e alla vita privata. In particolare, il Garante ha ribadito che le attività di adeguata verifica della clientela devono essere svolte nel rispetto dei principi di necessità, proporzionalità, minimizzazione ed esattezza, e che l’utilizzo di fonti aperte non può prescindere da verifiche idonee a garantire l’attribuzione certa dell’informazione allo specifico interessato.

Accertamento della violazione

All’esito dell’istruttoria è stato accertato che Hype aveva associato al reclamante informazioni relative a un diverso soggetto, attingendo a un solo articolo di stampa risalente a due anni prima e senza ulteriori verifiche sulla pertinenza e sull’esattezza dei dati. Tale condotta è stata ritenuta incompatibile con l’art. 5, par. 1, lett. c) e d), GDPR, nonché con il principio di responsabilizzazione di cui al par. 2 del medesimo articolo. Il Garante ha precisato che, in assenza di condizioni tali da attribuire l’informazione con certezza al cliente, il trattamento avrebbe dovuto essere precluso.

Valutazione della gravità e provvedimento finale

Pur dichiarando l’illiceità del trattamento, il Garante ha ritenuto la violazione “minore” ai sensi dell’art. 83, par. 2, GDPR, valorizzando:

• la breve durata della correlazione illecita;
• la tempestiva revoca del recesso dopo i chiarimenti dell’interessato;
• il riscontro fornito sull’origine dell’informazione;
• la collaborazione della società nel procedimento;
• l’esiguo numero di interessati coinvolti;
• l’assenza di precedenti specifici.

In conseguenza, l’Autorità ha ammonito Hype S.p.a. ai sensi dell’art. 58, par. 2, lett. b), GDPR e ha disposto l’annotazione della violazione nel registro interno dell’Autorità. Non è stata irrogata una sanzione pecuniaria.