Ordinanza ingiunzione o revoca n. 67 del 09/03/2023

Banca Cambiano 1884 S.p.A. - mancato riscontro a istanza di accesso ai dati

Il Garante per la protezione dei dati personali ha definito un reclamo presentato da un ex dipendente nei confronti di Invest Banca S.p.A., società poi incorporata in Banca Cambiano 1884 S.p.A., per il mancato riscontro tempestivo a una richiesta di accesso ai dati personali. Il procedimento si è concluso con l'accertamento della violazione degli artt. 12, par. 3, e 15 GDPR e con l'irrogazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e svolgimento del procedimento

Il reclamante aveva presentato alla banca, in data 5 maggio 2021, un'istanza per ottenere copia dei dati personali oggetto di trattamento e le informazioni previste dall'art. 15 GDPR. L'istanza risultava regolarmente notificata via PEC, ma non veniva evasa entro il termine previsto dall'art. 12, par. 3, GDPR. A seguito del reclamo al Garante del 7 luglio 2021, l'Ufficio invitava la banca a fornire chiarimenti e ad aderire alle richieste dell'interessato. La società riscontrava poi la richiesta il 21 settembre 2021, producendo un riscontro integrale e adducendo il ritardo a problematiche tecniche e organizzative connesse alla situazione aziendale e allo smart working.

Subentro della società incorporante

Nel corso dell'istruttoria è emerso che Invest Banca S.p.A. era stata cancellata a seguito di fusione per incorporazione in Banca Cambiano 1884 S.p.A. il 25 ottobre 2021, con cancellazione dal registro in data 27 novembre 2021. Il Garante ha quindi chiarito che il provvedimento veniva adottato nei confronti della società incorporante, in base all'art. 2504-bis c.c. e alle prescrizioni dell'Autorità in materia di fusioni e scissioni tra società.

Violazioni accertate: artt. 12 e 15 GDPR

Il Garante ha ritenuto accertato che il titolare del trattamento non aveva fornito alcun riscontro all'istanza nei termini di legge, né aveva comunicato all'interessato i motivi dell'eventuale inottemperanza. In particolare:

• l'art. 12, par. 3, GDPR impone di rispondere senza ingiustificato ritardo e comunque entro un mese;
• ove necessario, il termine può essere prorogato di due mesi, ma il titolare deve informarne l'interessato entro il primo mese;
• se non intende ottemperare, il titolare deve comunque informare l'interessato, entro un mese, dei motivi del diniego e della possibilità di reclamo e ricorso.

Il Garante ha inoltre richiamato l'art. 15 GDPR, che attribuisce all'interessato il diritto di ottenere conferma dell'esistenza di un trattamento e l'accesso ai dati e alle informazioni elencate dalla norma.

Valutazione delle difese della banca

La banca ha sostenuto che il ritardo fosse dovuto a un mero errore interno, a difetti di coordinamento e alla fase di amministrazione straordinaria, nonché al fatto che l'interessato, in quanto ex dipendente, fosse già a conoscenza delle finalità e modalità del trattamento. Il Garante ha respinto tali argomentazioni, osservando che le difficoltà organizzative interne non escludono la responsabilità del titolare, il quale deve adottare misure tecniche e organizzative adeguate ai sensi dell'art. 24 GDPR. È stato inoltre chiarito che la pregressa conoscenza del trattamento non elimina il diritto di accesso, che serve anche a verificare la correttezza e la completezza dei dati trattati.

Decisione, sanzione e pubblicazione

Ritenuto fondato il reclamo, il Garante ha dichiarato l'illiceità del trattamento limitatamente alla violazione degli artt. 12, par. 3, e 15 GDPR e ha adottato ordinanza ingiunzione ai sensi dell'art. 58, par. 2, lett. i), GDPR e dell'art. 166 del Codice privacy. Ai fini della quantificazione della sanzione sono stati considerati, ai sensi dell'art. 83, par. 2, GDPR:

• la natura della violazione, incidente sui diritti dell'interessato;
• l'assenza di precedenti violazioni pertinenti;
• il successivo riscontro fornito nel corso del procedimento;
• le condizioni economiche del contravventore desunte dal bilancio 2021.

La sanzione è stata determinata in euro 10.000. È stata inoltre disposta la pubblicazione del provvedimento sul sito internet del Garante ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del regolamento n. 1/2019. Il provvedimento ricorda infine la possibilità di definizione agevolata mediante il pagamento della metà della sanzione entro il termine previsto per il ricorso.