Prescrizioni del Garante n. 296 del 09/05/2024

Ammonimento per tardivo riscontro a un’istanza di esercizio dei diritti

Il Garante per la protezione dei dati personali ha adottato un provvedimento nei confronti di un avvocato, in qualità di titolare del trattamento, per il mancato riscontro tempestivo a una richiesta di esercizio dei diritti dell’interessato ex artt. 15 e ss. GDPR. Il procedimento è stato avviato a seguito di reclamo dell’interessato, insoddisfatto per l’assenza di risposta nei termini di legge.

Fatti e origine del reclamo

L’interessato aveva presentato in data 3 marzo 2023 un’istanza di accesso e, più in generale, di esercizio dei diritti previsti dal Regolamento. Decorso inutilmente il termine di cui all’art. 12 GDPR, il 5 aprile 2023 è stato proposto reclamo al Garante per sollecitare un intervento nei confronti del professionista.

Successivamente, l’Ufficio ha invitato il titolare a valutare l’adesione spontanea alle richieste del reclamante, ai sensi dell’art. 15 del Regolamento n. 1/2019. In risposta, il 3 novembre 2023 l’avvocato ha comunicato di aderire alle richieste, spiegando di non aver risposto prima per un errore personale, dovuto al mancato accorgimento della PEC ricevuta.

Osservazioni del reclamante e riscontro del titolare

Nella medesima data, il reclamante ha contestato il riscontro, lamentando in particolare la mancata consegna della copia dell’informativa sottoscritta ai sensi degli artt. 13 e 14 GDPR e chiedendo al Garante di valutare eventuali ulteriori misure nei confronti del professionista.

L’Ufficio ha poi rilevato separatamente la congruità del contenuto del riscontro fornito. Resta tuttavia emerso che il titolare non aveva risposto nei termini né aveva informato tempestivamente l’interessato della necessità di una proroga e delle ragioni del ritardo.

Violazione dell’art. 12, par. 3, GDPR

Il Garante ha accertato la violazione dell’art. 12, par. 3, GDPR, che impone al titolare di fornire all’interessato informazioni sull’azione intrapresa rispetto alle richieste di cui agli artt. 15-22 GDPR senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta.

La norma consente una proroga di due mesi nei casi di particolare complessità o numero delle richieste, ma impone al titolare di informare l’interessato entro un mese della proroga e dei motivi del ritardo. Nel caso di specie, tali comunicazioni non risultavano né allegate né trasmesse nei termini.

Valutazioni ai fini dell’art. 83 GDPR

Nella valutazione della gravità, il Garante ha considerato:

• l’avvenuto esaurimento degli effetti della condotta;
• il successivo riscontro comunque fornito all’interessato;
• l’assenza di precedenti violazioni pertinenti;
• il carattere colposo della violazione;
• il danno subito dall’interessato, ritenuto di lievissima entità;
• l’assenza di fattori aggravanti, quali benefici finanziari conseguiti o perdite evitate.

Alla luce di tali elementi, l’Autorità ha ritenuto che non ricorressero i presupposti per l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett. i), GDPR.

Dispositivo finale

Pur in assenza di sanzione pecuniaria, il Garante ha dichiarato l’illiceità della condotta del titolare per violazione dell’art. 12, par. 3, GDPR e lo ha ammonito ai sensi dell’art. 58, par. 2, lett. b), GDPR.

È stata inoltre richiamata la facoltà di opposizione avverso il provvedimento, proponibile ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro i termini di legge.