Prescrizioni del Garante n. 426 del 15/12/2022

Fondazione SOS Il Telefono Azzurro Onlus - ritardato riscontro a richiesta di cancellazione dei dati di persona deceduta

Il provvedimento riguarda la Fondazione SOS Il Telefono Azzurro Onlus ed è stato adottato a seguito dell’istanza presentata da una persona che chiedeva la cancellazione dei dati personali della madre deceduta, ancora destinataria di comunicazioni della Fondazione. Il Garante ha accertato un ritardo nel riscontro alla richiesta di cancellazione, ma ha ritenuto la violazione di gravità contenuta e ha concluso con un ammonimento, senza applicare una sanzione pecuniaria.

Fatto e procedimento

L’istante aveva inviato il 12 aprile 2022 una richiesta di cancellazione dei dati della madre all’indirizzo privacy della Fondazione, reiterandola poi il 19 agosto 2022 anche al Garante, lamentando di non aver ottenuto riscontro e di continuare a ricevere corrispondenza intestata alla defunta. Con nota del 21 settembre 2022 l’Ufficio aveva invitato la Fondazione a dare seguito alla richiesta, richiamando l’art. 2-terdecies del Codice privacy, che consente l’esercizio dei diritti GDPR anche con riferimento ai dati di persone decedute. La Fondazione, con nota del 6 ottobre 2022, ha riconosciuto il ritardo, attribuendolo a un disguido interno, e ha confermato di aver cancellato i dati della sig.ra XX.

Trattamenti e diritti interessati

Il caso riguarda il trattamento di dati personali limitati e di natura comune, riferibili a una persona deceduta, con riferimento al diritto alla cancellazione previsto dall’art. 17 GDPR. Il Garante richiama anche l’art. 12 GDPR, che impone al titolare di agevolare l’esercizio dei diritti e di fornire riscontro senza ingiustificato ritardo e comunque entro un mese. Per i dati di persone decedute opera l’art. 2-terdecies del Codice, che legittima l’esercizio dei diritti da parte di chi abbia un interesse proprio, agisca a tutela dell’interessato o per ragioni familiari meritevoli di protezione.

Violazioni contestate e valutazioni del Garante

L’Ufficio ha contestato la violazione degli artt. 12 e 17 GDPR e dell’art. 2-terdecies del Codice. Dall’istruttoria è emerso che la richiesta di cancellazione era stata regolarmente inviata all’indirizzo indicato dalla Fondazione nella propria informativa privacy e che la stessa l’aveva effettivamente ricevuta. Non risultavano, inoltre, motivi ostativi o limitazioni all’esercizio del diritto alla cancellazione ai sensi dell’art. 17, par. 3, GDPR e dell’art. 2-undecies, comma 1, del Codice. Il Garante ha quindi ritenuto violato l’obbligo di riscontro tempestivo di cui all’art. 12, parr. 3 e 4, GDPR.

Responsabilità organizzativa del titolare

Il provvedimento sottolinea che il titolare del trattamento deve adottare misure tecniche e organizzative adeguate per garantire e dimostrare la conformità al Regolamento, ai sensi dell’art. 24 GDPR. Il generico richiamo della Fondazione a un disguido negli uffici non è stato ritenuto idoneo a escludere la responsabilità, poiché la disciplina privacy non consente di eludere gli obblighi di riscontro con riferimento a semplici errori organizzativi interni. Il Garante evidenzia che la colpa non incide sull’esistenza della violazione, ma può rilevare nella quantificazione della sanzione ai sensi dell’art. 83, par. 2, lett. b), GDPR.

Esito del procedimento e misure adottate

Pur prendendo atto della cancellazione dei dati e delle iniziative avviate dalla Fondazione per verificare e aggiornare i propri processi interni e formare il personale, il Garante ha ritenuto superfluo adottare provvedimenti ingiuntivi, poiché l’adempimento era già stato eseguito, seppur tardivamente. Quanto alla risposta sanzionatoria, l’Autorità ha considerato l’assenza di precedenti specifici, il carattere episodico della violazione, il numero esiguo degli interessati coinvolti, la natura verosimilmente colposa della condotta, il comportamento collaborativo e la natura non profit della Fondazione. Tali elementi hanno condotto a qualificare l’infrazione come violazione minore, ai sensi dell’art. 83, par. 2, e del Considerando 148 GDPR.

Dispositivo

Il Garante ha quindi:

• ammonito la Fondazione SOS Il Telefono Azzurro Onlus, ai sensi dell’art. 58, par. 2, lett. b), GDPR, per la violazione dell’art. 12 GDPR dovuta all’omesso tempestivo riscontro alla richiesta di cancellazione;
• disposto l’annotazione della violazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento n. 1/2019.

È infine previsto il rimedio dell’opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro i termini di legge.