Prescrizioni del Garante n. 678 del 13/11/2024

A.N.C. – riscontro tardivo all’istanza di accesso ai dati personali

Il provvedimento riguarda l’Associazione Nazionale Carabinieri, destinataria di un reclamo ex art. 77 GDPR per il mancato e tardivo riscontro a una richiesta di accesso ai dati personali formulata da un socio ai sensi dell’art. 15 GDPR. Il Garante ha esaminato la vicenda nell’ambito del procedimento avviato anche in chiave sanzionatoria, poi concluso con ammonimento.

Origine del reclamo e richieste dell’interessato

L’interessato, socio dell’A.N.C., aveva chiesto alla sezione di appartenenza di ottenere l’accesso ai propri dati personali e alle informazioni previste dalle lettere a)–h) dell’art. 15 GDPR. Dopo un primo rigetto comunicato dalla sezione locale, l’interessato si era rivolto direttamente alla Presidenza nazionale, precisando che la richiesta era volta a conoscere i dati trattati nell’ambito associativo e a ricevere l’informativa ex art. 13 GDPR.

Riscontri forniti dall’associazione

Secondo la ricostruzione dell’A.N.C., la richiesta era stata inizialmente inoltrata per errore alla struttura tecnica centrale, che l’aveva trattata come accesso agli atti ai sensi della legge n. 241/1990 e aveva quindi negato il riscontro. Solo successivamente, dopo il reclamo al Garante, la Presidenza nazionale aveva chiarito l’errore e trasmesso alla sezione locale un documento informativo sul trattamento dei dati.

Istruttoria del Garante e norme richiamate

L’Autorità ha richiamato l’art. 15 GDPR, che riconosce il diritto dell’interessato di ottenere conferma dell’esistenza di un trattamento e di accedere ai dati e alle informazioni elencate nella norma, nonché l’art. 12 GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese, con eventuale proroga motivata di due mesi nei casi consentiti. In caso di diniego, il titolare deve informare l’interessato dei motivi e della possibilità di proporre reclamo e ricorso.

Accertamento della violazione

Nel caso concreto, il Garante ha ritenuto che l’A.N.C. non avesse fornito un idoneo riscontro nei termini di legge. Anche dopo la richiesta più specifica rivolta direttamente alla Presidenza nazionale, l’associazione si era limitata a inviare l’informativa ex art. 13 GDPR, senza consentire l’accesso ai dati personali richiesti. Solo con una comunicazione successiva sono state indicate le tipologie di dati e informazioni riferite all’interessato, ma la trasmissione è avvenuta per il tramite dell’Autorità e non direttamente all’interessato.

Valutazione in diritto e qualificazione della condotta

Il Garante ha ritenuto che le giustificazioni fornite dall’associazione, basate su un’erronea interpretazione della domanda, non fossero sufficienti a escludere l’illiceità del trattamento. La condotta è stata qualificata come violazione degli artt. 12, par. 3, e 15 GDPR. L’Autorità ha anche richiamato l’art. 168 del Codice privacy in relazione alla veridicità delle dichiarazioni rese nel procedimento.

Gravità della violazione e misura applicata

Pur dichiarando l’illiceità del trattamento, il Garante ha considerato la violazione come minore, valorizzando:

• la natura associativa del titolare;
• il coinvolgimento di un solo interessato;
• l’assenza di precedenti violazioni pertinenti.

In applicazione dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy, è stato quindi adottato un ammonimento nei confronti dell’A.N.C., senza irrogazione di sanzione pecuniaria.

Dispositivo finale

Il provvedimento dispone la pubblicazione sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019. È inoltre indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro i termini di legge.