Ordinanza ingiunzione o revoca n. 587 del 26/09/2024

Ministero dell'interno - Prefettura di Roma: tardivo riscontro a un'istanza di cancellazione dei dati

Il Garante ha esaminato il reclamo di un interessato che aveva chiesto la cancellazione dei propri dati personali trattati dalla Prefettura di Roma e dalla ASL di Roma 1 nell'ambito di un procedimento connesso alla revisione della patente. Il procedimento origina dalla mancata risposta tempestiva all'istanza ex art. 17 GDPR e si conclude con un ammonimento al Ministero dell'interno per violazione dell'art. 12 GDPR.

Origine del reclamo e trattamento contestato

L'interessato ha presentato reclamo ai sensi dell'art. 77 GDPR lamentando che, dopo la richiesta del 7 febbraio 2023 di cancellazione dei dati personali dai database della Prefettura e della ASL, non aveva ricevuto un riscontro adeguato. La vicenda riguardava dati collegati a un episodio risalente al 2009, relativo al ritiro della patente per guida in stato di ebbrezza, e alla successiva procedura amministrativa e sanitaria di revisione/riabilitazione.

La ASL ha risposto il 15 febbraio 2023 affermando che il fascicolo della Commissione medica locale doveva essere conservato per almeno venti anni e che, trattandosi di pratica chiusa nel 2019, la cancellazione non sarebbe stata possibile prima del 2039. Il Ministero dell'interno, invece, non aveva inizialmente fornito alcun riscontro all'istanza dell'interessato.

Attività istruttoria del Garante

Con nota dell'11 aprile 2023, l'Autorità ha richiesto informazioni al Ministero ai sensi dell'art. 157 del Codice privacy e lo ha invitato ad aderire all'istanza dell'interessato. Successivamente, con ulteriore richiesta del 20 maggio 2023, il Garante ha sollecitato un chiarimento sul mancato riscontro.

La Prefettura ha poi rappresentato di aver disposto la revisione medica e la sospensione provvisoria della patente, limitandosi a inserire i dati nell'Anagrafe nazionale degli abilitati alla guida, accessibile soltanto al personale amministrativo autorizzato. Solo con nota del 17 luglio 2023 il Ministero ha dato al reclamante una risposta formale, sostenendo anche che non esistesse alcuna "lista" pubblicata sul sito istituzionale.

Difese del Ministero

Nel corso del procedimento il Ministero ha sostenuto che il trattamento fosse legittimo perché effettuato in adempimento di obblighi di legge e per finalità di interesse pubblico e di sanità pubblica. Ha inoltre affermato che il ritardo nel riscontro fosse dovuto a carenza di risorse umane, alla temporanea sostituzione della dirigenza e alla natura non ordinaria dell'istanza per l'ufficio coinvolto.

Il Ministero ha anche evidenziato di aver poi inviato una risposta più approfondita e di aver sensibilizzato dirigenti e dipendenti sulla normativa privacy. In via subordinata ha chiesto l'archiviazione, o comunque un provvedimento correttivo con sanzione minima.

Valutazioni del Garante

L'Autorità ha richiamato il quadro normativo applicabile, in particolare gli artt. 5, par. 1, lett. a), 6, par. 1, lett. e), 12, parr. 1, 3 e 4, e 17 GDPR. Ha ribadito che il titolare deve dare riscontro all'istanza dell'interessato senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi solo nei casi previsti, e che, in caso di diniego, deve comunque informare l'interessato dei motivi dell'inottemperanza e dei rimedi esperibili.

Nel caso concreto, il Garante ha accertato che il Ministero non aveva riscontrato tempestivamente la richiesta del 7 febbraio 2023, ma aveva comunicato con l'interessato solo il 17 luglio 2023, e solo a seguito delle sollecitazioni dell'Autorità. La circostanza che la richiesta non fosse accoglibile nel merito non esonerava comunque dall'obbligo di riscontro nei termini di legge.

Esito del procedimento e misura adottata

Pur confermando l'illiceità della condotta, il Garante ha qualificato la violazione come minore, valorizzando: il coinvolgimento di un solo interessato, il fatto che si trattasse della prima istanza per l'ufficio, il contesto organizzativo critico, la collaborazione prestata dal titolare, l'assenza di precedenti e le misure di sensibilizzazione successivamente adottate.

L'Autorità ha quindi adottato un ammonimento nei confronti del Ministero dell'interno ai sensi dell'art. 58, par. 2, lett. b), GDPR, senza disporre ulteriori misure correttive, ritenendo che la condotta avesse ormai esaurito i propri effetti. Il provvedimento è impugnabile dinanzi all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.