Prescrizioni del Garante n. 401 del 14/09/2023

Ammonimento per mancato riscontro a richiesta di informazioni del Garante

Il provvedimento riguarda il dott. XX, destinatario di un reclamo relativo alla sua attività medica. L'Autorità ha esaminato sia i profili sostanziali sollevati dal reclamante sia il comportamento del professionista nel corso dell'istruttoria, concentrandosi infine sulla mancata risposta alla richiesta di informazioni formulata ai sensi dell'art. 157 del Codice privacy.

Origine del procedimento e istruttoria

Un interessato ha presentato reclamo al Garante lamentando fatti occorsi nell'esercizio dell'attività medica del dott. XX, idonei secondo il reclamante a integrare una possibile violazione della disciplina sulla protezione dei dati personali. L'Ufficio ha quindi richiesto al medico, con nota inviata via PEC, di fornire entro 30 giorni ogni informazione utile alla valutazione del caso, ai sensi dell'art. 157 del Codice.

Decorso inutilmente il termine, l'Ufficio ha verificato che non era pervenuto alcun riscontro, pur essendo la comunicazione risultata consegnata all'indirizzo PEC indicato. Per tale ragione è stata notificata la violazione dell'art. 166, comma 5, del Codice e dell'art. 58, par. 1, lett. d), GDPR, con contestuale informativa sulla facoltà di presentare memorie difensive o chiedere audizione.

Difese del destinatario

Il dott. XX ha poi presentato memoria difensiva e ha risposto alla richiesta istruttoria. Ha sostenuto di non aver avuto concreta conoscenza della prima PEC del Garante per non aver consultato tempestivamente la casella di posta certificata, dichiarando di usarla solo sporadicamente. In sede di audizione, il suo legale ha precisato che la consultazione era stata saltuaria anche per il fatto che la casella PEC era quella dell'Ordine dei Medici di Genova e che il medico era in pensione da circa quattro anni.

Valutazioni del Garante sul merito del reclamo

Quanto ai profili di merito originariamente dedotti nel reclamo, il Garante ha definito la trattazione con archiviazione per insussistenza di elementi idonei a configurare un illecito in materia di protezione dei dati personali. Ne consegue che il provvedimento non interviene sul trattamento in sé, ma solo sul mancato adempimento dell'obbligo di collaborazione con l'Autorità.

Accertamento della violazione dell'art. 157 del Codice

Il Garante ha ritenuto che le giustificazioni addotte non fossero sufficienti a escludere la responsabilità per l'omesso riscontro alla richiesta di informazioni. In base all'art. 157 del Codice, il Garante può chiedere al titolare di fornire informazioni ed esibire documenti; l'art. 166, comma 2, del Codice prevede che la violazione di tale obbligo sia soggetta alla sanzione amministrativa di cui all'art. 83, par. 5, GDPR.

Nel caso concreto, il riscontro è arrivato solo dopo la reiterazione della richiesta da parte dell'Ufficio. L'Autorità ha quindi dichiarato l'illiceità della condotta per mancata risposta nei tempi richiesti.

Valutazione attenuante e qualificazione come violazione minore

Pur accertando l'illecito, il Garante ha considerato una serie di elementi attenuanti:

• si è trattato di un episodio isolato;
• il medico ha escluso un'intenzionalità nella condotta;
• non risultano precedenti violazioni pertinenti;
• il destinatario ha poi cooperato con l'Autorità;
• la mancata consultazione della PEC è stata collegata alla condizione di pensionato e all'uso non frequente della casella.

Sulla base di tali circostanze, il Garante ha qualificato il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle Linee guida WP 253 sulle sanzioni amministrative pecuniarie, fatte proprie dal Comitato europeo per la protezione dei dati con Endorsement 1/2018.

Provvedimento finale

Ritenendo sufficiente la reazione correttiva dell'Autorità, il Garante ha applicato un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR, dichiarando la condotta illecita per violazione dell'art. 157 del Codice. Ha inoltre escluso l'adozione di ulteriori misure correttive, osservando che la condotta aveva ormai esaurito i suoi effetti.

Impugnazione

Il provvedimento indica la possibilità di proporre ricorso dinanzi all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.