Prescrizioni del Garante n. 90 del 23/03/2023

Fideuram - Intesa Sanpaolo Private Banking S.p.a.: ammonimento per mancato riscontro a istanza di accesso ai dati di una persona defunta

Il Garante ha esaminato un reclamo presentato dall'erede di una persona defunta contro Fideuram - Intesa Sanpaolo Private Banking S.p.a., per il mancato riscontro a una richiesta di accesso ai dati personali formulata ai sensi dell'art. 15 GDPR e dell'art. 2-terdecies del Codice privacy. Il procedimento è stato avviato a seguito della segnalazione del mancato riscontro entro i termini di legge.

Fatti e attività istruttoria

L'istanza, presentata il 14 ottobre 2021, era stata inviata alla casella PEC reclami della banca. Secondo la società, la richiesta non era stata correttamente incanalata verso la funzione Privacy e, in presenza di una pratica successoria già aperta, era stata gestita dalla struttura preposta alle successioni. Quest'ultima aveva rilevato la mancanza della dichiarazione sostitutiva di atto di notorietà necessaria per identificare il richiedente quale erede, senza però riscontrare l'interessato. Solo dopo l'avvio dell'istruttoria, con nota del 29 novembre 2022, la banca ha trasmesso i dati richiesti, limitati ai dati contabili del de cuius fino alla data del decesso e con oscuramento dei dati di terzi.

Posizioni difensive della banca

Nelle memorie difensive, Fideuram ha sottolineato di avere procedure interne e istruzioni operative per la gestione delle richieste di esercizio dei diritti, oltre a una guida operativa dedicata. Ha spiegato che l'errore sarebbe dipeso da un disguido operativo e ha rappresentato di avere successivamente attivato attività di sensibilizzazione del personale, pubblicazione periodica di messaggi informativi sulla intranet, aggiornamento dei processi e delle procedure, formazione del personale e controlli a campione sui tempi di evasione.

Valutazioni giuridiche del Garante

Il Garante ha richiamato l'art. 12 GDPR, in particolare:

• il par. 1 e 2, sul dovere del titolare di agevolare l'esercizio dei diritti;
• il par. 3, che impone il riscontro senza ingiustificato ritardo e comunque entro un mese;
• il par. 4, che impone, in caso di diniego o mancato riscontro, l'informativa sui motivi e sui rimedi esperibili.

Ha inoltre richiamato l'art. 15 GDPR sul diritto di accesso e l'art. 2-terdecies del Codice, che consente l'esercizio dei diritti relativi ai dati dei defunti da parte di chi vi abbia un interesse proprio, agisca per ragioni familiari meritevoli di protezione o come mandatario.

L'Autorità ha escluso che sull'interessato incomba l'onere di indicare espressamente la base giuridica della richiesta o di utilizzare un canale specifico: secondo le Guidelines EDPB 01/2022, se il titolare ha dubbi sull'oggetto della richiesta deve chiedere chiarimenti, e il GDPR non impone un formato determinato per l'invio dell'istanza. Di conseguenza, il fatto che la richiesta fosse stata inviata a una PEC destinata ai reclami non esonerava la banca dal dovere di prendere in carico l'istanza e riscontrarla tempestivamente.

Esito e provvedimenti adottati

Il Garante ha qualificato l'omesso tempestivo riscontro come trattamento illecito per violazione dell'art. 12 GDPR. Tuttavia, ha considerato la violazione "minore" in ragione di più fattori: la convergenza di due circostanze di fatto che avevano favorito l'errore, le misure adottate per attenuare le conseguenze dell'illecito, la collaborazione con l'Autorità, il coinvolgimento di un solo interessato, l'adozione di misure organizzative correttive e l'assenza di precedenti specifici.

Non essendo più necessario ordinare un adempimento, poiché la banca aveva già fornito la documentazione richiesta e aveva dichiarato la disponibilità a evadere anche la distinta richiesta ex art. 119, comma 4, T.U.B., il Garante non ha adottato un provvedimento ingiuntivo. Ha invece:

• rilevato l'illiceità del trattamento;
• ammonito Fideuram ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 del Codice;
• disposto l'annotazione della violazione nel registro interno dell'Autorità.

Non è stata irrogata una sanzione pecuniaria. È stato infine ricordato il diritto di opposizione avanti all'autorità giudiziaria ordinaria nei termini di legge.