Prescrizioni del Garante n. 218 del 17/05/2023

Ammonimento al Comitato vittime della Pubblica Amministrazione per mancato riscontro a istanza di accesso

Il provvedimento riguarda il Comitato vittime della Pubblica Amministrazione, destinatario di un reclamo per non aver riscontrato una richiesta di accesso ai dati personali presentata da un’interessata. Il procedimento è stato avviato a seguito della mancata risposta all’istanza ex art. 15 GDPR e si è concluso con la dichiarazione di illiceità del trattamento, l’ammonimento del titolare e l’ingiunzione di riscontro all’interessata.

Origine del reclamo e contenuto dell’istanza

L’interessata aveva presentato in data 18 novembre 2020 un’istanza di esercizio dei diritti al Comitato, chiedendo, in particolare, la conferma dell’esistenza di trattamenti e l’accesso a tutti i dati personali trattati, oltre alle informazioni previste dall’art. 15 GDPR: finalità, base giuridica, destinatari o categorie di destinatari, periodo di conservazione e origine dei dati.

Poiché l’istanza non aveva ricevuto riscontro nei termini previsti dall’art. 12, par. 3, GDPR, l’interessata proponeva reclamo al Garante il 3 marzo 2021.

Attività istruttoria e posizione del Comitato

L’Autorità ha chiesto chiarimenti al Comitato, invitandolo anche ad aderire all’istanza dell’interessata. Il Comitato ha risposto sostenendo, in sintesi, che:

• l’istanza sarebbe stata inviata a un indirizzo PEC non corretto, perché non coincidente con quello da esso utilizzato come canale ufficiale di ricezione;
• le informazioni richieste non sarebbero state dati personali;
• i dati sugli incarichi professionali dell’interessata sarebbero stati tratti da documenti già pubblici o comunque legittimamente posseduti.

Valutazioni del Garante sul diritto di accesso

Il Garante ha richiamato l’art. 15 GDPR, che riconosce all’interessato il diritto di ottenere conferma dell’esistenza di un trattamento e di accedere ai dati e alle informazioni elencate nella norma. Ha inoltre richiamato l’art. 12 GDPR, secondo cui il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese; se non intende accogliere la richiesta, deve comunque informare l’interessato dei motivi del diniego e delle possibili tutele.

Nel caso di specie, è stato accertato che il Comitato non ha fornito alcun riscontro entro i termini né successivamente, neppure dopo l’intervento dell’Autorità. Il Garante ha ritenuto non rilevante la questione del canale di invio, osservando che il diritto di accesso deve essere esercitabile agevolmente e che l’interessato non è tenuto a rispettare formalità o canali predeterminati, salvo che il titolare abbia effettivamente predisposto un sistema organizzato per agevolare le richieste. È stato inoltre valorizzato il fatto che il Comitato abbia effettivamente ricevuto la PEC inviata dall’Autorità e abbia risposto nel merito, dimostrando di avere contezza del canale utilizzato.

Qualificazione dei dati e illiceità del trattamento

Il Garante ha respinto l’assunto del Comitato secondo cui le informazioni sugli incarichi professionali non sarebbero state dati personali. Ha precisato che, ai sensi dell’art. 4, n. 1, GDPR, costituisce dato personale qualsiasi informazione riferita a una persona fisica identificata o identificabile. Le informazioni relative agli incarichi e alle competenze professionali dell’interessata sono state quindi considerate dati personali a tutti gli effetti.

Di conseguenza, la mancata evasione della richiesta di accesso è stata qualificata come trattamento illecito, in violazione degli artt. 12, par. 3, e 15 GDPR.

Misure adottate dal Garante

Il Garante ha ritenuto che la condotta integrasse una violazione minore, tenuto conto del numero limitato di interessati coinvolti e dell’assenza di precedenti pertinenti. Per questo motivo ha adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy.

In aggiunta, ha ingiunto al Comitato, ai sensi dell’art. 58, par. 2, lett. c), GDPR, di fornire all’interessata le informazioni richieste con l’istanza del 18 novembre 2020 entro 30 giorni dalla notifica del provvedimento, dando contestuale comunicazione all’Autorità.

Pubblicazione e tutela giurisdizionale

È stata disposta la pubblicazione del provvedimento sul sito del Garante. Resta ferma la possibilità di opposizione innanzi all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, all’art. 152 del Codice privacy e all’art. 10 del d.lgs. 150/2011.