Prescrizioni del Garante n. 365 del 31/08/2023

ContiamoCI! ETS: omesso riscontro alla richiesta di cancellazione di un ex associato

Il provvedimento riguarda ContiamoCI! ETS ed è stato adottato a seguito di un reclamo presentato da un interessato che aveva chiesto la cancellazione dei propri dati personali. L’Autorità ha esaminato la mancata esecuzione della richiesta e la successiva prosecuzione del trattamento in occasione del rinnovo automatico dell’iscrizione associativa.

Fatti e avvio del procedimento

Il reclamante aveva richiesto la cancellazione dei dati il 28 ottobre 2021. L’associazione, con e-mail del 13 gennaio 2022, aveva comunicato di aver provveduto alla cancellazione. Tuttavia, il 9 agosto 2022, l’interessato riceveva una comunicazione dall’indirizzo dell’associazione relativa alla scadenza e al rinnovo automatico dell’iscrizione, circostanza che ha indotto a ritenere che i dati fossero ancora trattati.

Con nota del 20 febbraio 2023, il Garante ha chiesto chiarimenti all’associazione. Quest’ultima, il 27 febbraio 2023, ha comunicato che l’interessato era stato cancellato dal libro soci il 25 febbraio 2023. Successivamente, con atto del 14 marzo 2023, l’Ufficio ha avviato il procedimento per l’adozione di provvedimenti ex artt. 58, par. 2, e 83 GDPR, in relazione alla possibile violazione dell’art. 17, par. 1, GDPR.

Difese dell’associazione e misure organizzative dichiarate

Nelle memorie difensive del 10 aprile 2023, l’associazione ha sostenuto che la mancata cancellazione era dovuta a un errore materiale di un volontario incaricato della gestione delle banche dati. Ha rappresentato che, nel periodo interessato, era stata costituita da poco e stava ancora organizzando le procedure interne per la gestione delle adesioni, dei rinnovi e delle richieste di esercizio dei diritti ex artt. 12-22 GDPR.

L’ente ha anche spiegato che, in una fase di rinnovo gratuito delle quote associative, la gestione della banca dati era stata orientata al mantenimento dei contatti e che il dato dell’interessato era rimasto nella banca dati per errore. Ha poi affermato di aver modificato il proprio modus operandi, prevedendo stati di "inattivo" e "disiscritto", una minimizzazione dei dati conservati e la cancellazione fisica dopo 10 anni, salvo specifiche richieste di cancellazione. Infine, ha dichiarato di aver rivisto la compliance GDPR e di valutare l’uso di una piattaforma dedicata per la gestione delle preferenze degli interessati.

Valutazioni del Garante

Il Garante ha rilevato che l’associazione, pur avendo dichiarato all’interessato di aver cancellato i dati, ha continuato a trattarli, come dimostrato dalla comunicazione di rinnovo automatico del 9 agosto 2022. Ne ha desunto l’accertamento della violazione dell’art. 17, par. 1, GDPR, sottolineando che la cancellazione è avvenuta solo dopo l’intervento dell’Autorità.

Nonostante ciò, l’Autorità ha considerato rilevanti alcuni elementi attenuanti: l’esplicita descrizione dell’errore materiale, le iniziative di miglioramento delle procedure interne, la collaborazione nel corso dell’istruttoria e l’assenza di precedenti specifici. Per tali ragioni, ha qualificato la fattispecie come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Decisione finale e richiamo agli obblighi sugli istanze ex artt. 12 e 17 GDPR

In esito al procedimento, il Garante:

• ha dichiarato l’illiceità del trattamento effettuato da ContiamoCI! ETS nei termini descritti in motivazione, per violazione dell’art. 17, par. 1, GDPR;
• ha ammonito l’associazione, ai sensi dell’art. 58, par. 2, lett. b), GDPR, a fornire riscontro effettivo alle istanze di esercizio dei diritti nei termini e con le modalità previste dall’art. 12 GDPR;
• ha richiamato la necessità di un costante monitoraggio delle misure adottate;
• ha indicato la ricorrenza dei presupposti di cui all’art. 17 del regolamento del Garante n. 1/2019 sulle procedure interne aventi rilevanza esterna.

Tutela giurisdizionale

Il provvedimento richiama la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.