Prescrizioni del Garante n. 67 del 13/02/2025

Università degli Studi di Macerata: tardivo riscontro a un'istanza di esercizio dei diritti dell'interessato

Il provvedimento riguarda l'Università degli Studi di Macerata e un trattamento connesso alla gestione di un'istanza di esercizio dei diritti presentata da un interessato nell'ambito di una procedura concorsuale. Il procedimento è stato avviato a seguito di un reclamo ex art. 77 GDPR per mancata tempestiva risposta.

Origine del reclamo e istruttoria

L'interessato aveva chiesto all'Ateneo l'esercizio dei diritti di cui agli artt. 15 e 21 GDPR e, in sostanza, la cancellazione di alcuni dati personali ai sensi dell'art. 17 GDPR. L'Autorità, dopo aver invitato il titolare ad aderire alle richieste dell'interessato, ha acquisito la documentazione relativa al riscontro fornito dall'Università e ha poi avviato il procedimento contestando la violazione dell'art. 12, parr. 3 e 4, GDPR.

Violazione contestata

Il Garante ha accertato che il riscontro è stato inviato oltre il termine massimo di un mese previsto dall'art. 12, par. 3, GDPR. La risposta è stata qualificata come tardiva di 45 giorni, e non di 15 giorni come sostenuto dal titolare. È stato inoltre rilevato che l'Ateneo non ha informato l'interessato, entro il termine di legge, né della proroga del termine né dei motivi del ritardo, come richiesto dall'art. 12, par. 3 e 4, GDPR.

Valutazioni del Garante

L'Università aveva giustificato il ritardo con la complessità e la novità della vicenda, ma il Garante ha osservato che, in un caso del genere, il titolare avrebbe potuto avvalersi della proroga di due mesi prevista dalla norma, a condizione di informare tempestivamente l'interessato. La mancata osservanza di tali adempimenti ha condotto alla conclusione di illiceità del trattamento, limitatamente alla violazione degli obblighi di riscontro all'istanza dell'interessato.

Criteri di graduazione della risposta sanzionatoria

Ai fini dell'art. 83, par. 2, GDPR, il Garante ha considerato che:

• la violazione ha riguardato un solo interessato;
• la condotta è stata colposa;
• non risultano precedenti violazioni pertinenti del titolare;
• l'Ateneo ha cooperato con l'Autorità nel corso dell'istruttoria.

Sulla base di tali elementi, la violazione è stata qualificata come "minore" anche in applicazione del considerando 148 GDPR e delle linee guida del WP29 sulle sanzioni amministrative pecuniarie.

Misure finali adottate

Il Garante ha ritenuto sufficiente un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR, escludendo l'adozione di ulteriori misure correttive poiché la condotta aveva già esaurito i propri effetti. Ha inoltre disposto:

• la pubblicazione del provvedimento sul sito internet dell'Autorità;
• l'annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.