Ordinanza ingiunzione o revoca n. 363 del 09/05/2024

Unicredit S.p.A. - mancato riscontro a richiesta di accesso ai dati dell’erede

Il provvedimento riguarda Unicredit S.p.A. e trae origine dal reclamo di un’erede che lamentava il mancato riscontro a una richiesta di accesso ai dati personali riferiti a un soggetto deceduto. La richiesta era stata formulata ai sensi degli artt. 15 GDPR e 2-terdecies del Codice privacy e riguardava dati connessi a rapporti di finanziamento intrattenuti con la banca.

Fatti e svolgimento dell’istruttoria

La reclamante aveva presentato l’istanza il 4 giugno 2023; non avendo ricevuto riscontro nei termini, si è rivolta al Garante il 19 ottobre 2023. Dopo l’invito dell’Ufficio a fornire osservazioni e ad aderire spontaneamente alla richiesta, Unicredit ha trasmesso una prima nota il 29 gennaio 2024 e una successiva integrazione il 23 febbraio 2024.

Nelle comunicazioni la banca ha precisato che i dati e i documenti relativi ai finanziamenti erano stati già consegnati dalla filiale in occasione di precedenti incontri successivi al decesso del cliente e alla consegna della documentazione successoria. Ha inoltre illustrato che la valutazione del merito creditizio aveva riguardato documentazione reddituale, patrimoniale e preventivi di spesa, nonché la consultazione di banche dati di informazioni creditizie e della Centrale dei Rischi; ha poi chiarito che non risultavano polizze assicurative collegate ai finanziamenti.

Difese del titolare

Nei propri scritti difensivi del 5 aprile 2024, Unicredit ha sostenuto di avere ritenuto, in buona fede, che la richiesta ex art. 15 GDPR fosse già stata soddisfatta mediante la consegna della documentazione bancaria prevista dall’art. 119 TUB, poiché l’interessata avrebbe già ricevuto copia della documentazione contrattuale e di quella utilizzata per la valutazione delle richieste di finanziamento.

La banca ha anche evidenziato di avere predisposto procedure interne distinte per la gestione delle richieste di esercizio dei diritti, affidate a una struttura dedicata, nonché di avere svolto formazione periodica al personale. Ha infine riferito di avere avviato un piano di azione specifico per rafforzare la capacità del personale di intercettare correttamente le richieste dei clienti in materia privacy, soprattutto quando la domanda di documentazione bancaria si accompagni a una richiesta di accesso ai dati personali.

Quadro normativo richiamato

Il Garante ha richiamato in particolare:

• l’art. 12, par. 1, 2, 3 e 4, GDPR, in tema di agevolazione dell’esercizio dei diritti e di termini per il riscontro;
• l’art. 15, par. 1, GDPR, sul diritto di accesso;
• l’art. 2-terdecies, comma 1, del Codice privacy, relativo all’esercizio dei diritti sui dati di persone decedute da parte di chi abbia un interesse proprio o agisca per ragioni familiari meritevoli di protezione.

Valutazioni del Garante

L’Autorità ha ritenuto che Unicredit non avesse fornito un riscontro alla richiesta di accesso entro il termine di un mese previsto dall’art. 12, par. 3, GDPR e che non avesse neppure comunicato, entro lo stesso termine, i motivi dell’eventuale inottemperanza e l’indicazione della possibilità di reclamo o ricorso, come richiesto dall’art. 12, par. 4, GDPR.

Il Garante ha sottolineato che il diritto di accesso ex art. 15 GDPR è autonomo rispetto alla mera consegna di documentazione bancaria: l’interessato ha diritto di conoscere se sia in corso un trattamento e, in caso affermativo, di ottenere accesso ai dati e alle ulteriori informazioni previste dalla norma, anche per verificare la correttezza e completezza del trattamento.

Pur prendendo atto che la banca, dopo l’avvio dell’istruttoria, aveva fornito le informazioni richieste, l’Autorità ha ritenuto che ciò non fosse sufficiente a sanare l’illiceità del ritardo già maturata. Il reclamo è stato quindi dichiarato fondato.

Esito del procedimento e sanzione

In applicazione dell’art. 58, par. 2, GDPR, il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 12, parr. 3 e 4, GDPR. Non ha invece adottato un ordine ulteriore di soddisfare la richiesta, poiché la banca aveva già riscontrato l’istanza nel corso del procedimento.

Ai fini della quantificazione della sanzione ai sensi dell’art. 83 GDPR, sono stati considerati:

• la rilevante natura della violazione, incidentе sul diritto di accesso;
• la presenza di precedenti provvedimenti nei confronti del titolare per la medesima violazione;
• il grado di responsabilità attenuato per la successiva collaborazione e il riscontro fornito;
• il numero esiguo di interessati coinvolti, pari a uno;
• le misure organizzative e formative adottate dalla banca;
• le condizioni economiche del contravventore, desunte dai ricavi del bilancio 2022.

La sanzione amministrativa pecuniaria è stata determinata in euro 30.000, ai sensi dell’art. 83, par. 5, lett. b), GDPR. È stata inoltre disposta la pubblicazione del provvedimento sul sito internet del Garante, in considerazione della tipologia della violazione e del rilievo dei principi di protezione dei dati personali coinvolti.

Ulteriori profili procedurali

Il provvedimento richiama la possibilità di definizione agevolata della controversia mediante pagamento della metà della sanzione entro il termine previsto dalla normativa richiamata e indica la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, o sessanta giorni se il ricorrente risiede all’estero.