Prescrizioni del Garante n. 180 del 27/04/2023

Brescia Calcio S.p.A. - trattamento illecito della scheda online di un ex calciatore e mancato riscontro alla richiesta di cancellazione

Il Garante ha esaminato un reclamo presentato da un ex calciatore nei confronti di Brescia Calcio S.p.A. in relazione alla permanenza, sul sito web della società, della scheda personale dell’interessato contenente anche il dato del peso corporeo. Il procedimento è scaturito dalla contestazione dell’interessato circa la diffusione di tale dato, ritenuta lesiva e avvenuta anche dopo la cessazione del rapporto di lavoro.

Origine del reclamo e ricostruzione dei fatti

L’interessato aveva lamentato che il proprio peso corporeo fosse stato pubblicato sul sito della società e successivamente ripreso da organi di stampa online. Secondo il reclamante, la divulgazione del dato era avvenuta al fine di screditarlo pubblicamente come calciatore professionista e aveva prodotto un grave pregiudizio alla sua immagine e carriera. In data 10 luglio 2020 aveva inoltre inviato una diffida formale alla società chiedendo di non diffondere ulteriormente quel dato.

La Società, nel corso dell’istruttoria, ha sostenuto che la pubblicazione dei dati degli atleti, compreso il peso corporeo, fosse giustificata dalla natura pubblica della figura del calciatore professionista, dalla prassi del settore e dalla necessità di presentare i tesserati sul sito ufficiale. Ha richiamato, inoltre, il rapporto di lavoro sportivo disciplinato dalla legge n. 91/1981 e varie possibili basi giuridiche, tra cui l’art. 6, par. 1, lett. b), e), f) GDPR e il consenso dell’atleta.

Trattamento contestato e accertamenti tecnici

L’Ufficio del Garante ha avviato il procedimento contestando alla Società la conservazione, sul proprio sito web, della scheda del reclamante dopo la cessazione del rapporto di lavoro, con possibilità di consultazione anche tramite motori di ricerca. Dagli atti è emerso che il rapporto si era concluso il 31 agosto 2020, ma la scheda è rimasta reperibile almeno fino al 19 novembre 2021.

La Società ha spiegato di aver inizialmente reso la scheda non navigabile dal menu del sito, ritenendo di averla "messa offline", ma non di averla cancellata definitivamente. Solo in seguito, grazie all’intervento di un tecnico-programmatore, sarebbe stata effettuata la cancellazione completa. In audizione è stato chiarito che la società non aveva interesse a mantenere online i dati dell’ex tesserato e che, a suo dire, la persistenza dei dati poteva persino arrecare danno al club.

Violazione del principio di liceità e della limitazione della conservazione

Il Garante ha ritenuto illecito il trattamento effettuato dopo la cessazione del rapporto di lavoro, evidenziando che le basi giuridiche invocate dalla Società potevano eventualmente giustificare il trattamento in costanza di tesseramento, ma non la permanenza online dei dati una volta cessato il rapporto. È stata quindi dichiarata la violazione dell’art. 5, par. 1, lett. a), GDPR, per difetto di una idonea base giuridica.

L’Autorità ha inoltre ravvisato la violazione dell’art. 5, par. 1, lett. e), GDPR, poiché i dati sono stati conservati in una forma che consentiva l’identificazione dell’interessato per un periodo eccedente le finalità del trattamento. La scheda è rimasta consultabile per oltre un anno dopo la cessazione del rapporto, fino alla rimozione definitiva.

Mancato riscontro alla richiesta di cancellazione

Un ulteriore profilo di illegittimità ha riguardato l’assenza di risposta alla richiesta dell’interessato del 10 luglio 2020. Il reclamante aveva chiesto la cancellazione del dato relativo al peso corporeo e contestato la sua diffusione, ma la Società non aveva fornito alcun riscontro né nei termini di cui all’art. 12, par. 3, GDPR, né comunicando eventuali ragioni del mancato accoglimento ai sensi dell’art. 12, par. 4, GDPR.

Il Garante ha quindi rilevato la violazione dell’art. 12 GDPR, ricordando che il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese, con eventuale proroga motivata nei casi previsti.

Valutazione conclusiva del Garante

All’esito dell’istruttoria, il Garante ha dichiarato l’illiceità del trattamento effettuato da Brescia Calcio S.p.A. in relazione agli artt. 5, par. 1, lett. a) ed e), e 12 GDPR. Ha quindi disposto, ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy, un ammonimento nei confronti della Società.

L’Autorità ha qualificato la violazione come "minore", tenendo conto del fatto che l’incidenza riguardava un solo interessato e dell’assenza di precedenti violazioni pertinenti. Non è stata irrogata una sanzione pecuniaria, ma è stata riconosciuta la rilevanza della condotta illecita e del mancato riscontro alla richiesta dell’interessato.