Prescrizioni del Garante n. 171 del 27/03/2025

Pico Moto s.r.l.: mancato riscontro a richiesta di cancellazione e a richieste di informazioni del Garante

Il provvedimento riguarda Pico Moto s.r.l. e prende le mosse dal reclamo di un interessato che aveva chiesto la cancellazione di immagini e dati relativi alla targa del proprio veicolo, pubblicati su canali online riconducibili alla società. L’Autorità ha accertato sia il ritardo nel riscontro all’interessato sia il mancato riscontro alle richieste istruttorie del Garante.

Fatti e avvio dell'istruttoria

L’interessato aveva presentato in data 1 giugno 2021 un’istanza di esercizio dei diritti chiedendo la cancellazione dei dati personali riferiti al veicolo acquistato, in particolare fotografie e contenuti foto/video diffusi su siti di vendita online e sul profilo Facebook della società. Non avendo ricevuto risposta, ha presentato reclamo il 28 settembre 2021 ai sensi dell’art. 77 GDPR.

L’Autorità ha quindi avviato l’istruttoria con nota del 1 ottobre 2021, invitando la società a fornire osservazioni e ad aderire alla richiesta dell’interessato. Poiché non perveniva alcun riscontro, la richiesta veniva reiterata il 29 novembre 2021 ai sensi dell’art. 157 del Codice privacy. Anche questa seconda comunicazione rimaneva senza risposta.

Accertamenti svolti e contenuto delle dichiarazioni della società

Persistendo il silenzio della società, l’Ufficio ha delegato il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza a notificare una nuova richiesta di informazioni e l’atto di avvio del procedimento sanzionatorio. Gli atti sono stati notificati il 3 maggio 2022.

Nel corso degli accertamenti la società ha riferito che il veicolo era un demo aziendale, che la pubblicità era stata diffusa su diversi canali online e che, dopo la vendita, aveva provveduto a rimuovere il materiale promozionale dai canali pubblicitari, social e dal sito internet. Ha poi sostenuto che il mancato riscontro fosse dipeso da un disguido interno e dall’assenza temporanea di una collaboratrice.

Gli accertamenti hanno evidenziato che sul sito e sui profili social della società non erano presenti ulteriori foto o immagini riconducibili al veicolo, mentre nel successivo contraddittorio del 28 febbraio 2025 la società ha precisato che la cancellazione era stata difficoltosa perché le foto si confondevano con altri contenuti aziendali e che l’unica omissione era stata la mancata comunicazione dell’avvenuto riscontro all’interessato.

Violazioni accertate e norme richiamate

Il Garante ha ritenuto che la società abbia violato:

• l’art. 157 del Codice privacy, per non aver risposto a due richieste di informazioni dell’Autorità;
• l’art. 12, par. 3, GDPR, in relazione all’art. 17 GDPR, per non aver riscontrato tempestivamente la richiesta di cancellazione;
• l’art. 12, par. 4, GDPR, perché, nel caso di ritardo o impossibilità di aderire, il titolare deve informare l’interessato senza ritardo dei motivi dell’inottemperanza e dei rimedi esperibili.

L’Autorità ha osservato che la cancellazione è avvenuta solo oltre il termine di legge e che la società non ha comunicato all’interessato né le difficoltà incontrate né l’avvenuto adempimento. Inoltre, il mancato riscontro all’Autorità ha imposto il coinvolgimento della Guardia di finanza, con aggravio dell’istruttoria.

Valutazione sulla responsabilità e sulla buona fede

La società aveva invocato l’esimente della buona fede e sostenuto l’assenza di pregiudizio, anche in ragione della natura di microimpresa e del contesto economico generale. Il Garante ha tuttavia escluso la buona fede ai sensi dell’art. 3 della legge n. 689/1981, rilevando che non vi erano elementi positivi idonei a far ritenere lecita la condotta e che l’errore era evitabile con ordinaria diligenza.

L’Autorità ha quindi qualificato i mancati riscontri come condotta negligente, sottolineando che la reiterazione delle richieste e le indicazioni contenute negli atti avrebbero dovuto rendere evidente l’obbligo di risposta.

Esito finale e misure disposte

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Pico Moto s.r.l. in relazione alle violazioni dell’art. 157 del Codice e degli artt. 12, par. 3, e 17 GDPR.

Nell’ambito dei poteri correttivi ex art. 58, par. 2, GDPR, l’Autorità ha preso atto del fatto che la società, nel corso del procedimento, ha aderito all’istanza di esercizio dei diritti dell’interessato. Il provvedimento dispone inoltre:

• la pubblicazione sul sito web dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

È infine indicata la possibilità di opposizione all’autorità giudiziaria ordinaria ex art. 78 GDPR e artt. 152 del Codice e 10 del d.lgs. 150/2011, entro i termini di legge.