Ordinanza ingiunzione o revoca n. 200 del 10/04/2025

EPACA – accesso illecito ai dati INPS e conservazione oltre i termini

Il provvedimento riguarda l’Ente di patrocinio e assistenza per i cittadini e l’agricoltura (EPACA), cui viene contestato un trattamento illecito di dati personali di una reclamante. L’istruttoria è nata da un reclamo ex art. 77 GDPR relativo all’accesso alla banca dati INPS effettuato da un operatore del patronato, indicato come giustificato da una "proroga di delega", e dalla conservazione della documentazione oltre i limiti previsti dalla disciplina di settore.

Origine del reclamo e fatti contestati

La reclamante ha sostenuto di non aver mai conferito un mandato valido all’ufficio provinciale del patronato che aveva consultato i suoi dati presso INPS. EPACA ha spiegato che l’operatore, verificando pratiche in scadenza, aveva ritenuto necessario accedere ai dati previdenziali per tutelare l’interessata e prevenire un possibile pregiudizio sul piano pensionistico. L’Ente ha anche riferito di aver avviato un procedimento disciplinare nei confronti dell’addetto, ritenendo che questi avesse disatteso le istruzioni interne in materia di privacy.

Disciplina applicabile richiamata dal Garante

L’Autorità richiama i principi di cui all’art. 5, par. 1, lett. a) ed e), GDPR, la base giuridica del trattamento ex art. 6 GDPR, nonché il principio di responsabilizzazione di cui agli artt. 5, par. 2, e 24 GDPR. Per gli istituti di patronato viene richiamato l’art. 116, comma 1, del Codice privacy, che consente l’accesso alle banche dati degli enti eroganti solo nell’ambito del mandato conferito dall’interessato e con il consenso specificamente manifestato. È inoltre citato l’art. 8 della l. n. 152/2001 e, per la conservazione documentale, l’art. 11, comma 3, e l’art. 16, comma 1, lett. e), del D.M. 10 ottobre 2008, n. 193, che prevedono la conservazione per cinque anni della documentazione relativa all’attività svolta.

Valutazioni sull’illiceità del trattamento

All’esito dell’istruttoria, il Garante ha ritenuto che EPACA avesse conservato la documentazione e i dati personali della reclamante per un periodo superiore a quello quinquennale rilevante e che, al momento dell’accesso a INPS, non disponesse più del mandato né di elementi idonei a dimostrare l’esistenza di un consenso ancora valido ai sensi dell’art. 116, comma 1, del Codice. La circostanza che l’accesso sia stato effettuato nell’interesse dell’interessata non è stata considerata sufficiente a sanare la mancanza del presupposto legittimante. Né è stata ritenuta decisiva l’asserita possibilità, da parte di INPS, di utilizzare la funzione di "proroga" della delega, poiché il titolare del trattamento resta comunque tenuto a verificare e documentare la sussistenza dei requisiti di liceità.

Esito istruttorio e responsabilità del titolare

Il Garante ha escluso che l’omesso esercizio dei diritti dell’interessata ex artt. 15-22 GDPR potesse incidere sulla responsabilità dell’Ente. Ha inoltre chiarito che la conservazione quinquennale prevista dal D.M. n. 193/2008 riguarda la documentazione inerente l’attività svolta e non legittima, di per sé, un uso ulteriore dei dati in assenza di un mandato ancora efficace. In definitiva, il trattamento è stato qualificato come illecito per violazione degli artt. 5, par. 1, lett. a) ed e), e 6 GDPR, nonché degli artt. 2-ter e 116 del Codice privacy.

Sanzione amministrativa pecuniaria

Poiché le violazioni derivano da un’unica condotta, il Garante richiama l’art. 83, par. 3, GDPR. Trattandosi di violazioni sanzionate dall’art. 83, par. 5, il massimo teorico è stato indicato fino a 20 milioni di euro. Nel determinare la sanzione, l’Autorità ha valutato:

• la natura colposa della condotta;
• l’assenza di precedenti violazioni pertinenti;
• la cooperazione prestata dall’Ente;
• il fatto che l’accesso abbia riguardato un solo interessato;
• l’assenza di dati appartenenti a categorie particolari;
• il basso livello di gravità della violazione.

Sulla base di tali elementi, è stata irrogata una sanzione di 5.000 euro, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo e adempimenti finali

Il Garante ha quindi:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato da EPACA;
• ordinato il pagamento della sanzione amministrativa pecuniaria di 5.000 euro;
• ricordato la possibilità di definizione agevolata con pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno.

È stato inoltre indicato che avverso il provvedimento è proponibile ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.