Prescrizioni del Garante n. 190 del 21/12/2022

Ammonimento nei confronti di un avvocato per omessa informativa e riscontro incompleto

Il Garante per la protezione dei dati personali esamina il reclamo di un interessato contro un avvocato, in relazione al trattamento di dati personali raccolti nell’ambito di un mandato professionale e successivamente utilizzati in un giudizio per il recupero dei compensi. Il procedimento riguarda, in particolare, la mancata informativa al momento della raccolta dei dati e la gestione di dati relativi allo stato di salute e genetici, nonché l’adeguatezza del riscontro alle richieste di esercizio dei diritti dell’interessato.

Fatti e svolgimento del procedimento

L’interessato riferisce di essersi rivolto allo studio legale nel 2016 per avviare azioni giudiziarie nei confronti del datore di lavoro e di una compagnia assicurativa. Dopo la cessazione del rapporto professionale, l’avvocato promuove azione per ottenere il pagamento delle competenze, depositando in giudizio documentazione che il reclamante riteneva non dovesse più essere nella disponibilità dello studio e che, secondo la sua prospettazione, conteneva dati sensibili e genetici.

L’Ufficio del Garante chiede al professionista chiarimenti sulle basi giuridiche del trattamento, sulla conservazione dei dati dopo la cessazione del mandato e sulla loro produzione nel giudizio recuperatorio. Il titolare difende la propria condotta sostenendo, tra l’altro, che l’informativa fosse affissa nello studio, che il consenso non fosse necessario per i dati trattati in funzione difensiva e che il riscontro all’interessato fosse stato tempestivo.

Normativa applicabile

Il Garante precisa che, per i fatti avvenuti nel 2016, la disciplina applicabile è il d.lgs. 196/2003 nella versione allora vigente, e non la legge n. 675/1996, ormai abrogata. Vengono richiamati in particolare:

• l’art. 13 del Codice privacy, in tema di informativa;
• l’art. 15 GDPR, in tema di diritto di accesso;
• l’art. 58, par. 2, GDPR, per i poteri correttivi dell’Autorità;
• l’art. 83 GDPR, per i criteri sanzionatori;
• l’art. 28 della legge n. 689/1981, sul decorso dei termini per la sanzione amministrativa.

Valutazioni del Garante sulla mancata informativa

L’Autorità ritiene accertato che l’avvocato abbia acquisito i dati personali direttamente presso l’interessato senza fornire l’informativa dovuta. Non è accolta la tesi difensiva secondo cui l’obbligo sarebbe stato assolto mediante un documento esposto nello studio: il documento richiamato non viene qualificato come vera informativa, ma come documento programmatico per la sicurezza, privo degli elementi richiesti dall’art. 13 del Codice.

Il Garante evidenzia che l’informativa deve contenere, tra l’altro, finalità e modalità del trattamento, natura obbligatoria o facoltativa del conferimento, conseguenze dell’eventuale rifiuto, soggetti o categorie di soggetti ai quali i dati possono essere comunicati, diritti dell’interessato ed estremi del titolare e degli eventuali responsabili.

Dati genetici e trattamento per finalità difensive

Quanto ai dati genetici, il professionista richiama l’eccezione prevista per il trattamento necessario a far valere o difendere un diritto in sede giudiziaria. Il Garante ricorda però che l’Autorizzazione generale n. 8/2016 prevedeva, per i dati genetici, il previo consenso informato e scritto della persona interessata.

Nel caso concreto, l’avvocato afferma che nel giudizio per compensi non sarebbero stati depositati certificati medici o dati genetici, ma soltanto elenchi della documentazione. Il provvedimento non entra in una autonoma contestazione sulla produzione di specifici dati genetici, ma valorizza la violazione informativa e il complessivo trattamento illecito accertato.

Riscontro alle istanze dell’interessato ex art. 15 GDPR

Il Garante accerta anche la violazione dell’art. 15 GDPR. Le risposte fornite dal titolare sono ritenute incomplete e non idonee a garantire un corretto esercizio dei diritti dell’interessato. In particolare, la mera evocazione di norme obsolete e la mancata chiarezza sulle modalità di trattamento e conservazione dei dati non soddisfano gli obblighi di riscontro imposti dal Regolamento.

Esito del procedimento

All’esito dell’istruttoria, il Garante dichiara l’illiceità del trattamento dei dati del reclamante per violazione dell’art. 13 del Codice privacy e dell’art. 15 GDPR. Tuttavia, non applica una sanzione amministrativa pecuniaria, ritenendo che, per la violazione del Codice risalente al 2016, siano decorsi i termini per l’esercizio del potere sanzionatorio.

L’Autorità adotta quindi un ammonimento nei confronti dell’avvocato ai sensi dell’art. 58, par. 2, lett. b), GDPR, invitando implicitamente al rispetto degli obblighi di informativa e di corretta gestione delle richieste dell’interessato in futuro.