Ordinanza ingiunzione o revoca n. 552 del 12/09/2024

Medical4All Italia S.r.l. - mancata assistenza al titolare nel riscontro a un accesso ex art. 15 GDPR e omissione di riscontro al Garante

Il provvedimento riguarda Medical4All Italia S.r.l., operatore che svolge attività di gestione sinistri e servizi di telemedicina, sanzionato per non avere correttamente adempiuto agli obblighi gravanti sul responsabile del trattamento e per non avere risposto a una richiesta istruttoria del Garante. Il caso origina da un reclamo dell'interessato relativo alla mancata risposta a un'istanza di accesso ai dati personali.

Origine del reclamo e svolgimento dell'istruttoria

L'interessato ha presentato reclamo al Garante il 4 febbraio 2023, lamentando che alla richiesta di accesso formulata il 3 gennaio 2023 nei confronti della società non fosse seguito alcun riscontro. Dopo l'invito dell'Ufficio ad aderire alla richiesta, la società ha inizialmente dichiarato di non avere dati riferibili al reclamante; solo successivamente, a fronte delle contestazioni dell'interessato, ha chiarito di operare nella gestione liquidatoria e di sinistri per conto di un terzo, precisando che gli archivi erano in capo a Intesa Sanpaolo Assicura S.p.A.

L'Ufficio ha quindi avviato accertamenti ai sensi dell'art. 157 del Codice per chiarire il ruolo della società nel trattamento e verificare l'eventuale designazione quale responsabile ex art. 28 GDPR. La richiesta di informazioni inviata il 2 maggio 2023 è rimasta inevasa, nonostante la regolare notifica via PEC.

Ruolo di responsabile del trattamento e obblighi derivanti dall'atto di nomina

Dall'istruttoria è emerso che Medical4All Italia S.r.l. trattava i dati sanitari degli assistiti di Intesa Sanpaolo Assicura S.p.A. in qualità di responsabile del trattamento. La società era infatti vincolata da un atto di nomina dell'11 giugno 2018, relativo al rapporto contrattuale in essere dal 1° gennaio 2014.

L'atto di nomina prevedeva espressamente che il responsabile dovesse collaborare con il titolare, mediante misure tecniche e organizzative adeguate, per consentire il riscontro alle richieste di esercizio dei diritti degli interessati di cui agli artt. 15-22 GDPR. In particolare, era stabilito l'obbligo di informare il titolare entro tre giorni lavorativi delle richieste ricevute e di fornirgli tutto quanto necessario per rispondere.

Violazione dell'art. 28, par. 3, lett. e) GDPR

Il Garante ha ritenuto accertato che la società non abbia dato esecuzione alle istruzioni ricevute dal titolare. In concreto:

• non ha fornito alcun riscontro all'interessato, se non dopo l'intervento dell'Autorità;
• non ha tempestivamente veicolato la richiesta al titolare;
• non ha predisposto, al momento dei fatti, misure organizzative adeguate a garantire il corretto flusso delle richieste.

Secondo l'Autorità, il responsabile del trattamento non è il destinatario diretto delle istanze ex art. 15 GDPR, ma ha comunque il dovere di assistere il titolare nel soddisfare le richieste degli interessati. La condotta è stata quindi qualificata come violazione dell'art. 28, par. 3, lett. e) GDPR, sanzionabile ai sensi dell'art. 83, par. 4, lett. a) GDPR.

Violazione dell'art. 157 del Codice privacy

Parallelamente, il Garante ha contestato la mancata risposta alla richiesta di informazioni inviata il 2 maggio 2023 ai sensi dell'art. 157 del Codice. La comunicazione conteneva anche l'avviso che l'inosservanza avrebbe comportato l'applicazione della sanzione prevista dall'art. 166, comma 2, del Codice.

Poiché la richiesta è risultata regolarmente consegnata e rimasta senza riscontro, l'Autorità ha ritenuto integrata la violazione dell'art. 157 del Codice, sanzionabile ai sensi dell'art. 83, par. 5 GDPR attraverso il rinvio operato dall'art. 166, comma 2, del Codice.

Valutazione delle circostanze e quantificazione della sanzione

Nel determinare l'importo, il Garante ha applicato i criteri dell'art. 83, par. 2 GDPR, richiamando altresì il principio di effettività, proporzionalità e dissuasività di cui all'art. 83, par. 1 GDPR. Sono state considerate, tra le altre, le seguenti circostanze:

• la natura delle violazioni, riguardanti gli obblighi del responsabile e la collaborazione con l'Autorità;
• la durata limitata della condotta e il coinvolgimento di un solo interessato;
• la colpa della società, che ha agito ritenendo erroneamente di non dover svolgere adempimenti come responsabile e ha omesso il riscontro al Garante per un disguido organizzativo;
• la mancata adozione di adeguate misure tecniche e organizzative;
• la cooperazione solo successiva agli accertamenti ispettivi;
• l'aggravio del procedimento causato dalla mancata risposta all'Autorità;
• l'adozione successiva di misure organizzative per migliorare la gestione delle comunicazioni;
• l'assenza di precedenti violazioni o di precedenti provvedimenti ex art. 58 GDPR.

Il Garante ha inoltre richiamato l'art. 83, par. 3 GDPR, osservando che, trattandosi di violazioni relative allo stesso trattamento o a trattamenti collegati, l'importo complessivo non può superare il massimo edittale della violazione più grave. La sanzione è stata quindi fissata in euro 15.000,00.

Esito del provvedimento

L'Autorità ha dichiarato l'illiceità del trattamento nei limiti descritti in motivazione, ha ordinato a Medical4All Italia S.r.l. il pagamento della sanzione amministrativa pecuniaria di euro 15.000,00 entro 30 giorni dalla notifica e ha previsto la possibilità di definizione agevolata nei termini di legge. È stata inoltre disposta la pubblicazione del provvedimento sul sito internet del Garante, ritenendone sussistenti i presupposti.