Prescrizioni del Garante n. 431 del 28/09/2023

Ammonimento per tardivo riscontro a un’istanza di esercizio dei diritti

Il Garante per la protezione dei dati personali ha rivolto un ammonimento a XX, in qualità di titolare del trattamento, per aver riscontrato in ritardo un’istanza di esercizio dei diritti presentata dall’interessato ai sensi degli artt. 15 e ss. GDPR. Il procedimento trae origine da un reclamo con cui l’interessato contestava la tardività del riscontro, oltre al suo contenuto; su quest’ultimo profilo l’Ufficio aveva già espresso separata valutazione di congruità.

Fatto e origine del procedimento

L’interessato aveva presentato la richiesta il 24 ottobre 2022. XX aveva fornito riscontro solo il 1° dicembre 2022, oltre il termine legale di un mese previsto dall’art. 12, par. 3, GDPR. Dalla documentazione non risultava neppure che il titolare avesse comunicato tempestivamente all’interessato l’esigenza di una proroga o i motivi del ritardo entro il mese dal ricevimento della richiesta.

Con nota del 20 giugno 2023, l’Ufficio del Garante ha avviato il procedimento ai sensi degli artt. 58, par. 2, e 83 GDPR, concedendo al titolare la possibilità di presentare scritti difensivi o chiedere audizione. XX non ha presentato difese né istanza di audizione.

Violazione accertata

L’Autorità ha ritenuto integrata la violazione dell’art. 12, par. 3, GDPR, che impone al titolare di fornire all’interessato le informazioni sull’azione intrapresa in relazione alle richieste ex artt. 15-22 GDPR:

• senza ingiustificato ritardo;
• comunque entro un mese dal ricevimento della richiesta;
• con possibilità di proroga di due mesi solo se necessario, ma con obbligo di informare l’interessato entro il primo mese della proroga e delle relative ragioni.

Nel caso concreto, tali obblighi non sono stati rispettati.

Valutazioni del Garante ai fini dell’art. 83 GDPR

Pur avendo accertato l’illiceità della condotta, il Garante ha escluso l’applicazione di una sanzione pecuniaria. Nella valutazione dei criteri di cui all’art. 83 GDPR sono stati considerati:

• l’avvenuto esaurimento degli effetti della condotta;
• il fatto che il riscontro, sebbene tardivo, è stato comunque fornito;
• l’assenza di precedenti violazioni pertinenti da parte del titolare;
• la lievissima entità del pregiudizio subito dall’interessato;
• l’assenza di fattori aggravanti, quali benefici finanziari conseguiti o perdite evitate.

Sulla base di tali elementi, il Garante ha ritenuto non sussistenti i presupposti per l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett. i), GDPR.

Provvedimento finale

Il Garante ha quindi:

• dichiarato l’illiceità della condotta di XX per violazione dell’art. 12, par. 3, GDPR;
• disposto, in luogo della sanzione pecuniaria, un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Impugnazione

Il provvedimento reca l’indicazione dei rimedi giurisdizionali: opposizione proposta, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede oppure al tribunale del luogo di residenza dell’interessato, entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all’estero.