Ordinanza ingiunzione o revoca n. 160 del 07/03/2024

BdM Banca S.p.a. – mancato riscontro a istanza di accesso ai dati del de cuius

Il provvedimento riguarda BdM Banca S.p.a. e l’omesso tempestivo riscontro a una richiesta di accesso ai dati personali presentata dall’erede di un cliente deceduto. Il procedimento è stato avviato a seguito di reclamo e si è concluso con l’accertamento della violazione degli obblighi di risposta previsti dal GDPR.

Fatti e svolgimento del procedimento

La reclamante aveva presentato il 16 marzo 2023 una richiesta di accesso ai dati del padre deceduto, ai sensi dell’art. 15 GDPR e dell’art. 2-terdecies del Codice privacy. In un primo momento la banca aveva comunicato che non risultavano rapporti intestati al de cuius; successivamente, dopo ulteriori interlocuzioni, aveva riconosciuto l’esistenza di rapporti, ma senza fornire i dati richiesti.

A seguito dell’invito dell’Ufficio a fornire osservazioni e ad aderire spontaneamente alle richieste dell’interessata, la banca ha trasmesso una prima risposta parziale e ha poi inviato la documentazione bancaria relativa agli ultimi dieci anni del rapporto di conto corrente, oscurando i dati di terzi. L’Autorità ha quindi avviato il procedimento per l’adozione dei provvedimenti ex artt. 58, par. 2, e 83 GDPR.

Norme applicate

Il Garante ha richiamato:

• l’art. 12, par. 1, GDPR, sull’obbligo del titolare di adottare misure appropriate per fornire le comunicazioni relative ai diritti;
• l’art. 12, par. 2, GDPR, sull’obbligo di agevolare l’esercizio dei diritti;
• l’art. 12, par. 3, GDPR, che impone il riscontro senza ingiustificato ritardo e comunque entro un mese;
• l’art. 12, par. 4, GDPR, che impone di informare l’interessato dei motivi dell’eventuale inottemperanza e dei rimedi;
• l’art. 15 GDPR, sul diritto di accesso;
• l’art. 2-terdecies, comma 1, del Codice privacy, in materia di diritti riferiti a persone decedute.

Valutazioni dell’Autorità

Il Garante ha ritenuto che la banca non avesse fornito alcun riscontro utile entro il termine di un mese dalla richiesta, né avesse informato l’interessata dei motivi del ritardo e della possibilità di proporre reclamo o ricorso. Solo con l’avvio dell’istruttoria è stato fornito un riscontro, poi integrato con la consegna della documentazione.

La banca ha giustificato il ritardo con un errore di indirizzamento della richiesta, un iniziale convincimento circa la mancanza di rapporti e un errato inquadramento della domanda come pratica successoria. Il Garante ha però osservato che, secondo le linee guida EDPB 01/2022 sul diritto di accesso, l’interessato non è tenuto a presentare la richiesta secondo un formato predeterminato né a usare un canale specifico, sicché tali argomentazioni non valgono a escludere la violazione.

Esito del reclamo e provvedimenti adottati

L’Autorità ha dichiarato fondato il reclamo e ha qualificato l’omesso riscontro come illecito ai sensi dell’art. 12 GDPR. Tuttavia, poiché la banca aveva già trasmesso la documentazione richiesta nel corso del procedimento, il Garante ha escluso la necessità di un ordine ingiuntivo volto a soddisfare ulteriormente la richiesta di accesso.

Sanzione amministrativa pecuniaria

In applicazione dell’art. 83, par. 5, lett. b), GDPR, il Garante ha irrogato a BdM Banca S.p.a. una sanzione di euro 10.000.

Ai fini della quantificazione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la rilevanza della violazione, incidenti sui diritti dell’interessata;
• il grado di responsabilità del titolare, attenuato dalla successiva attivazione;
• le misure adottate per attenuare gli effetti negativi, inclusa la consegna della documentazione;
• la collaborazione prestata nel procedimento;
• il numero limitato di interessati coinvolti;
• le misure organizzative adottate per la gestione delle richieste;
• l’assenza di precedenti violazioni della stessa fattispecie.

Il Garante ha inoltre considerato le condizioni economiche del contravventore, desunte dal bilancio 2022, e il fatto che la banca non fosse mai stata destinataria di precedenti provvedimenti ex art. 58 GDPR.

Pubblicazione e opposizione

Il provvedimento dispone la pubblicazione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.