Provvedimenti n. 37 del 30/01/2025

Istituto Calabrese di Politiche Internazionali: trattamento illecito dei dati raccolti tramite form online senza informativa conforme

Il provvedimento riguarda l’Istituto Calabrese di Politiche Internazionali, titolare del sito www.pitagoramundus.org, nell’ambito della raccolta di dati personali degli utenti tramite moduli online per adesioni e contatti. Il procedimento trae origine da una segnalazione e da verifiche d’ufficio sulla presenza e qualità dell’informativa privacy resa agli utenti.

Origine del procedimento e attività istruttoria

A seguito della segnalazione del 22 febbraio 2023, l’Ufficio del Garante ha effettuato controlli sul sito, con particolare attenzione alle sezioni in cui venivano raccolti dati personali tramite form. Le prime verifiche hanno evidenziato l’assenza di un’informativa in numerose aree del sito, tra cui la pagina contatti e varie pagine dedicate alle iniziative dell’Istituto, nonché la presenza di un solo richiamo molto generico alla normativa privacy in un modulo di partecipazione.

Con richiesta di informazioni del 1 giugno 2023, poi notificata il 23 novembre 2023, il Garante ha chiesto al titolare chiarimenti e documentazione sull’informativa resa agli utenti e sui trattamenti effettuati tramite i moduli online. Dopo le osservazioni dell’Istituto e ulteriori riscontri del 10 gennaio 2024, è stato rilevato che in alcune sezioni era presente una privacy policy, ma non risultavano forniti dettagli completi sui trattamenti effettuati tramite i singoli form; inoltre, alcune informazioni erano formulate in modo estremamente generico o mancavano del tutto, in particolare con riguardo a destinatari dei dati e possibili trasferimenti all’estero.

Le difese del titolare del trattamento

Nel corso dell’audizione del 29 marzo 2024, l’Istituto ha descritto la propria attività come quella di una piccola associazione no-profit impegnata in progetti di sviluppo locale e formazione culturale, con organizzazione di soggiorni e borse di studio. Ha riferito che, tramite i form online, venivano raccolti dati anagrafici, dati di contatto, informazioni di terzi utili per emergenze e, in alcuni casi, dati particolari relativi allo stato di salute.

L’Istituto ha dichiarato che, se alla richiesta di informazioni non seguiva l’adesione all’iniziativa, i dati venivano cancellati o distrutti; nel caso di adesione, la procedura prevedeva la preventiva iscrizione all’associazione e l’accettazione dei relativi termini e condizioni. Ha inoltre ammesso che alla data del 9 marzo 2023 non era presente un’informativa conforme per i form esaminati e ha riferito di essersi attivato per predisporre un nuovo testo informativo, poi ritenuto comunque non adeguato al dettato normativo.

Valutazioni giuridiche del Garante

Il Garante ha ritenuto che il trattamento dei dati personali degli utenti tramite i form del sito fosse privo dell’informativa prescritta dall’art. 13 GDPR. Tale omissione integra anche una violazione del principio di correttezza e trasparenza sancito dall’art. 5, par. 1, lett. a), GDPR.

Nella motivazione viene richiamato anche l’art. 12, par. 1, GDPR, che impone al titolare di fornire agli interessati le informazioni in forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro. Il provvedimento sottolinea che gli articoli 13 e 14 GDPR definiscono le informazioni che devono essere rese al momento della raccolta dei dati o entro i termini previsti, a seconda che i dati siano raccolti presso l’interessato o presso terzi.

Le dichiarazioni rese dall’Istituto e la documentazione prodotta non sono state ritenute idonee a superare i rilievi contestati e non hanno consentito l’archiviazione del procedimento.

Esito

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’Istituto Calabrese di Politiche Internazionali per violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR. È stata inoltre disposta l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il provvedimento indica infine la possibilità di ricorso davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro i termini di legge.