Ordinanza ingiunzione o revoca n. 305 del 23/05/2024

ASST Rhodense: mancato riscontro a istanza di rettifica e trattamento di dati inesatti

Il Garante ha esaminato il caso dell’Azienda Socio-sanitaria Territoriale Rhodense, destinataria di un reclamo per il ritardo nel riscontro a un’istanza di rettifica dei dati personali dell’interessato e per il mantenimento di dati anagrafici e di domicilio sanitario inesatti. Il procedimento si è concluso con l’accertamento della violazione degli artt. 5, par. 1, lett. d), e 12 in relazione all’art. 16 GDPR, con irrogazione di sanzione pecuniaria e pubblicazione del provvedimento.

Origine del reclamo e oggetto della richiesta

L’interessato aveva chiesto la rettifica dei propri dati personali, in particolare dell’indirizzo di residenza anagrafica e del domicilio sanitario, perché erroneamente registrati nel sistema informativo sanitario regionale e riflessi anche nelle ricette elettroniche del medico di base. Secondo quanto dedotto nel reclamo, la richiesta era rimasta inevasa per oltre 150 giorni.

Esito dell’istruttoria e difese del titolare

Nel corso dell’istruttoria, l’Azienda ha sostenuto di aver già provveduto alla rettifica e di aver comunicato l’adempimento all’interessato. Ha tuttavia attribuito il ritardo al fatto che la richiesta era stata inviata al proprio indirizzo PEC istituzionale, anziché ai canali o al modulo predisposti per l’esercizio dei diritti. In particolare, ha richiamato una piattaforma informatica, alcuni indirizzi di posta elettronica dedicati e un modulo privacy pubblicato sul sito istituzionale.

Valutazione del Garante sul riscontro all’istanza di rettifica

Il Garante ha richiamato l’art. 12, par. 3, GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese, salvo proroga motivata di due mesi. Ha inoltre fatto riferimento alle Linee guida EDPB 01/2022, osservando che un’istanza inviata a un canale ufficiale del titolare diverso da quello preferibile non può essere considerata, di regola, una richiesta casuale o errata. Ne consegue che il titolare deve compiere ogni ragionevole sforzo per far pervenire la richiesta all’ufficio competente e rispondere nei termini di legge.

Violazione del principio di esattezza

Quanto al merito del trattamento, l’Autorità ha rilevato che l’Azienda, a fronte di una documentazione idonea a comprovare la variazione anagrafica, avrebbe dovuto aggiornare tempestivamente i dati. Il mancato aggiornamento ha integrato la violazione del principio di esattezza di cui all’art. 5, par. 1, lett. d), GDPR. La rettifica è intervenuta solo dopo la proposizione del reclamo, quindi tardivamente rispetto agli obblighi del titolare.

Qualificazione giuridica e assenza di misure prescrittive

Il Garante ha accertato che il riscontro alla richiesta dell’interessato è stato fornito solo dopo 156 giorni e quindi oltre i termini di legge. Ha tuttavia rilevato che la condotta si era già esaurita, poiché la rettifica era stata effettuata, e ha escluso l’adozione di misure prescrittive o inibitorie ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

La violazione è stata sanzionata ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 Codice privacy. Poiché le violazioni erano collegate, il Garante ha applicato l’art. 83, par. 3, GDPR, assumendo come riferimento il massimo edittale previsto dall’art. 83, par. 5. Nella determinazione dell’importo, pari a 4.500 euro, sono stati considerati:

• la bassa gravità del caso, trattandosi di episodio isolato e privo di dolo;
• la circostanza che l’adempimento sia intervenuto dopo il reclamo ma prima dell’invito formale del Garante;
• l’assenza di precedenti violazioni pertinenti;
• l’elevato grado di cooperazione del titolare;
• il fatto che l’Autorità sia venuta a conoscenza della vicenda tramite reclamo;
• il numero complessivo di richieste di variazione anagrafica gestite dall’Azienda.

Pubblicazione del provvedimento e rimedi

È stata disposta la pubblicazione integrale del provvedimento sul sito del Garante, anche in ragione del rilievo della violazione rispetto ai diritti degli interessati. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.