Provvedimenti n. 160 del 13/03/2025

Mamify Italia s.r.l. – tardivo riscontro a richiesta di cancellazione e mancata collaborazione con il Garante

Il provvedimento riguarda Mamify Italia s.r.l. e trae origine dal reclamo di un interessato che lamentava la mancata risposta alla richiesta di cancellazione dei propri dati personali. L’istruttoria ha evidenziato sia il ritardo nel riscontro all’istanza ex art. 17 GDPR, sia l’omessa collaborazione con l’Autorità nelle richieste di informazioni.

Origine del reclamo e avvio dell’istruttoria

L’interessato aveva presentato il reclamo il 27 marzo 2024 dopo aver inoltrato, il 15 gennaio 2024, una richiesta di cancellazione dei dati personali. Il Garante ha avviato l’istruttoria il 6 giugno 2024 chiedendo alla società di fornire osservazioni e di aderire alla richiesta dell’interessato. Poiché non è pervenuto riscontro, la richiesta è stata reiterata il 12 settembre 2024 ai sensi dell’art. 157 del Codice privacy.

Mancato riscontro alle richieste del Garante e intervento della Guardia di finanza

Anche la seconda richiesta è rimasta senza risposta. L’Ufficio ha quindi delegato il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza a notificare una nuova richiesta di informazioni e l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, in relazione alla violazione dell’art. 157 del Codice. La notifica è avvenuta il 24 ottobre 2024.

Difese della società

Mamify ha sostenuto di non essere il soggetto che gestiva i dati dell’interessato, attribuendo la titolarità del trattamento alla società Condividiamo Ltd, con sede a Gibilterra. Ha affermato che non disponeva delle credenziali per operare sui server delle app e che la cancellazione dei dati del reclamante sarebbe stata già effettuata da Condividiamo Ltd il 24 gennaio 2024. Secondo la società, la risposta del 1° maggio 2024 all’avvocato del reclamante sarebbe stata sufficiente a indicare il soggetto corretto cui rivolgersi.

Violazioni accertate

Il Garante ha ritenuto accertato che Mamify:

• non ha risposto alla richiesta di cancellazione entro il termine di un mese previsto dall’art. 12, par. 3, GDPR;
• non ha informato l’interessato, entro il medesimo termine, dei motivi della mancata risposta e della possibilità di reclamo o ricorso, in violazione dell’art. 12, par. 4, GDPR;
• non ha riscontrato le richieste di informazioni dell’Autorità, in violazione dell’art. 157 del Codice privacy.

La comunicazione del 1° maggio 2024 è stata considerata tardiva, perché successiva alla presentazione del reclamo e oltre il termine previsto dal GDPR.

Esito sul reclamo e misure adottate

L’Autorità ha ritenuto fondato il reclamo quanto al ritardo nel riscontro, ma ha escluso l’adozione di un ordine di cancellazione, rilevando che la società aveva dichiarato che i dati del reclamante erano già stati cancellati da Condividiamo Ltd il 24 gennaio 2024. In conclusione, il Garante ha dichiarato l’illiceità della condotta di Mamify Italia s.r.l. e ha disposto l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 GDPR, oltre alla pubblicazione del provvedimento sul sito istituzionale.

Regime impugnatorio

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.