Prescrizioni del Garante n. 501 del 26/10/2023

Ammonimento a Hype S.p.A. per tardivo riscontro a istanza di accesso

Il provvedimento riguarda Hype S.p.A. ed è stato adottato a seguito di un reclamo presentato da un interessato che lamentava il mancato riscontro a un'istanza di esercizio dei diritti ex artt. 15 e ss. GDPR, formulata dopo un tentativo non perfezionato di registrazione al servizio online anche per i figli minori. Il Garante ha accertato la violazione del termine di risposta previsto dall'art. 12, par. 3, GDPR e ha concluso per un ammonimento, valorizzando la successiva regolarizzazione e la cooperazione della società.

Fatti e reclamo

L'interessato aveva effettuato, nei giorni 11 e 12 settembre 2021, la registrazione al sito Hype.it per accedere a servizi di pagamento e moneta elettronica. Poiché il processo non era andato a buon fine, il 22 settembre 2021 aveva chiesto alla società di interrompere il trattamento dei dati propri e dei figli, di esercitare il diritto di accesso e di ottenere copia dei dati e tutte le informazioni previste dall'art. 15, par. 1, GDPR, nonché la cancellazione ai sensi dell'art. 17 GDPR. Dopo un primo messaggio del 24 settembre 2021 con cui la società annunciava un futuro riscontro, non era seguito alcun riscontro effettivo nei termini di legge, da cui il reclamo al Garante, pervenuto il 1° novembre 2021.

Istruttoria e posizione della società

L'Ufficio ha avviato il procedimento il 17 febbraio 2023 ai sensi degli artt. 58, par. 2, e 83 GDPR e dell'art. 166, comma 5, Codice privacy. Nelle memorie del 17 marzo 2023, Hype S.p.A. ha dichiarato di aver riscontrato l'interessato solo il 21 ottobre 2022, dopo l'invito ad aderire del Garante, imputando il ritardo a un mero errore accidentale e a un difetto procedurale-organizzativo. La società ha precisato che la vicenda aveva riguardato soltanto tre interessati in una fase precontrattuale, con raccolta di un numero limitato di dati comuni, e ha rappresentato di aver successivamente aggiornato e automatizzato la procedura di gestione delle richieste degli interessati.

Valutazioni del Garante

Il Garante ha ricordato che il diritto di accesso ex art. 15 GDPR è funzionale a consentire all'interessato di controllare i dati che lo riguardano e di verificare liceità ed esattezza del trattamento, richiamando il considerando 63 e le linee guida del Comitato europeo per la protezione dei dati sul diritto di accesso. Alla luce degli atti, ha ritenuto accertato che la società aveva omesso di fornire le informazioni richieste entro il termine di un mese stabilito dall'art. 12, par. 3, GDPR e che il riscontro era intervenuto solo successivamente all'intervento dell'Autorità. Le giustificazioni addotte non sono state ritenute sufficienti per l'archiviazione.

Qualificazione della violazione e misura adottata

Il Garante ha considerato la natura isolata dell'episodio, l'assenza di precedenti, la collaborazione della società e gli interventi correttivi successivi, ritenendo il caso una "violazione minore" ai sensi dell'art. 83 GDPR e del considerando 148. Non essendo più necessario ordinare alla società di soddisfare le richieste dell'interessato, in quanto questa aveva già aderito, l'Autorità ha adottato un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 Codice privacy, invitando Hype S.p.A. a garantire riscontri effettivi e tempestivi alle istanze di esercizio dei diritti e, se del caso, un costante monitoraggio delle misure interne adottate.

Esito finale e profili procedurali

Nel dispositivo il Garante ha dichiarato l'illiceità del trattamento effettuato da Hype nei termini indicati in motivazione per la violazione dell'art. 12, par. 3, GDPR, ha ammonito la società e ha rilevato i presupposti per l'annotazione del provvedimento nel registro interno dell'Autorità. È stata inoltre indicata la possibilità di proporre opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.