Prescrizioni del Garante n. 171 del 27/03/2025

Pico Moto s.r.l. - mancato riscontro a istanza di cancellazione e a richieste del Garante

Il provvedimento riguarda Pico Moto s.r.l. e trae origine da un reclamo dell’interessato relativo alla mancata cancellazione di fotografie e dati del proprio veicolo, pubblicati su canali online e sulla pagina Facebook della società, nonché al mancato riscontro alle richieste formulate all’Autorità.

Fatti e origine del reclamo

L’interessato aveva presentato in data 1 giugno 2021 una richiesta di cancellazione dei dati personali riferiti al veicolo acquistato, in particolare delle foto con targa visibile presenti su siti di vendita online e sui profili social della Società. La richiesta, pur regolarmente notificata via PEC, non aveva ricevuto riscontro nei termini. Per questo il 28 settembre 2021 veniva presentato reclamo al Garante ai sensi dell’art. 77 GDPR.

Attività istruttoria dell’Autorità

Con nota del 1 ottobre 2021 l’Ufficio avviava l’istruttoria preliminare invitando la Società a fornire osservazioni e ad aderire alla richiesta dell’interessato. Poiché non perveniva alcun riscontro, la richiesta veniva reiterata il 29 novembre 2021 ai sensi dell’art. 157 del Codice privacy. Anche tale atto rimaneva senza risposta; l’Ufficio incaricava quindi il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza di notificare una nuova richiesta di informazioni e l’atto di avvio del procedimento sanzionatorio. Gli atti risultavano notificati il 3 maggio 2022.

Dichiarazioni della Società e accertamenti

In sede ispettiva la Società ha riferito che il veicolo era un demo aziendale, che la pubblicità era stata diffusa su più canali online e che, dopo la vendita, la pubblicazione sarebbe stata rimossa. Ha attribuito il mancato riscontro a un disguido interno e all’assenza di una collaboratrice. Il Nucleo privacy ha verificato che sul sito e sui profili social non risultavano più presenti le immagini del veicolo. In sede di audizione del 28 febbraio 2025 la Società ha confermato che la cancellazione era stata eseguita, ma con ritardo, e ha ammesso di non aver comunicato all’interessato l’avvenuto adempimento.

Valutazioni del Garante sulla violazione dell’art. 157 del Codice

Il Garante ha ritenuto accertata la violazione dell’art. 157 del Codice per il mancato riscontro a due distinte richieste dell’Autorità: la prima, volta anche a sollecitare l’adesione alla richiesta di cancellazione; la seconda, espressamente formulata ai sensi dell’art. 157. L’Autorità ha evidenziato che le richieste erano state regolarmente notificate e che la mancata collaborazione aveva comportato un aggravio di tempi e costi, rendendo necessario il coinvolgimento della Guardia di finanza.

Valutazioni del Garante sulla violazione degli artt. 12, par. 3, e 17 GDPR

Quanto al rapporto con l’interessato, il Garante ha accertato che le fotografie con targa visibile erano ancora online alla data del 29 settembre 2021, nonostante l’istanza fosse stata presentata il 1 giugno 2021. La Società avrebbe quindi adempiuto solo dopo l’avvio dell’istruttoria, senza però riscontrare formalmente l’interessato. L’Autorità ha richiamato l’obbligo del titolare di rispondere entro un mese ai sensi dell’art. 12, par. 3, GDPR, ovvero, se non in grado di soddisfare la richiesta, di informare l’interessato dei motivi e della possibilità di reclamo e ricorso ai sensi dell’art. 12, par. 4, GDPR. La cancellazione tardiva e la mancata comunicazione integrano la violazione anche in relazione al diritto di cancellazione ex art. 17 GDPR.

Esclusione della buona fede

La Società aveva invocato la buona fede e il carattere isolato dell’episodio, oltre alla propria natura di microimpresa e alle difficoltà organizzative del periodo pandemico. Il Garante ha però escluso l’esimente di cui all’art. 3 della legge n. 689/1981, osservando che l’inosservanza dipendeva da negligenza e che l’errore era evitabile con ordinaria diligenza.

Esito del procedimento e misure disposte

All’esito del procedimento, il Garante ha dichiarato l’illiceità del trattamento effettuato da Pico Moto s.r.l. per violazione degli artt. 157 del Codice, 12, par. 3, e 17 GDPR. Ha preso atto che la Società, nel corso del procedimento, ha aderito all’istanza di esercizio dei diritti dell’interessato. In applicazione dell’art. 58, par. 2, GDPR e delle disposizioni richiamate nel provvedimento, ha disposto la pubblicazione del provvedimento sul sito web dell’Autorità e l’annotazione delle violazioni e delle misure adottate nel registro interno del Garante.

Profili sanzionatori

Nel testo fornito non risulta irrogata una sanzione pecuniaria; il provvedimento si concentra sulla dichiarazione di illiceità del trattamento e sulle misure correttive e pubblicistiche conseguenti.