Prescrizioni del Garante n. 706 del 14/11/2024

Mediobanca Premier S.p.a. - mancato e inidoneo riscontro a richiesta di accesso a registrazione telefonica

Il provvedimento riguarda il reclamo presentato da un interessato nei confronti di Mediobanca Premier S.p.a. per il riscontro ritenuto inadeguato a una richiesta di accesso, ex art. 15 GDPR, ai dati contenuti nella registrazione di una telefonata intercorso con il call center della banca. Il reclamo si inserisce in un contesto di frode bancaria e di successive interlocuzioni tra cliente e istituto di credito.

Origine della vicenda e trattamento oggetto di esame

Il reclamante, cointestatario di un rapporto di conto corrente, aveva chiesto di accedere ai dati contenuti nella registrazione della telefonata del 21 novembre 2023, ritenendo utile tale documentazione ai fini della contestazione dei fatti e del recupero delle somme sottratte in seguito a un’operazione fraudolenta. La banca, dopo la segnalazione dell’interessato, si era attivata sul fronte antifrode e aveva anche trasmesso documentazione bancaria, ma aveva negato inizialmente la consegna del file audio, richiamando la necessità di tutelare i dati di un terzo coinvolto, ossia l’operatore del servizio clienti.

Attività istruttoria e difese del titolare

A seguito dell’invito dell’Ufficio, Mediobanca ha rappresentato di aver già fornito un riscontro al cliente e di averlo fatto in modo graduale, comunicando dapprima documentazione bancaria e poi, dopo il reclamo, i dati personali del reclamante presenti nella registrazione. La banca ha sostenuto che il file audio non dovesse essere trasmesso integralmente per evitare la comunicazione di dati di terzi e perché, a suo avviso, la registrazione non sarebbe stata necessaria rispetto alla concreta finalità perseguita dall’interessato. Nel corso dell’audizione ha richiamato anche le linee guida EDPB sul diritto di accesso e ha sottolineato che, una volta rimborsata integralmente la somma oggetto della frode, l’interessato aveva dichiarato di non essere più interessato a ricevere la registrazione.

Valutazioni del Garante sul diritto di accesso

L’Autorità ha ritenuto che, nel caso concreto, la registrazione telefonica potesse rientrare nell’alveo dell’art. 15 GDPR, in quanto contenente dati personali dell’interessato, e che la tutela dei diritti di terzi dovesse essere valutata, ma non escludesse in radice l’accesso al file audio. Ha quindi affermato che la banca non ha riscontrato la richiesta entro il termine di un mese previsto dall’art. 12, par. 3 GDPR e non ha neppure informato tempestivamente l’interessato dei motivi dell’inottemperanza e delle possibilità di reclamo o ricorso, in violazione dell’art. 12, par. 4 GDPR. Il successivo invio di dati estratti dalla registrazione è stato considerato un riscontro comunque inidoneo a soddisfare pienamente il diritto di accesso.

Esito del procedimento e qualificazione della violazione

Il Garante ha escluso che gli elementi difensivi fossero idonei a giustificare l’archiviazione e ha dichiarato l’illiceità del trattamento per violazione degli artt. 12, par. 3, e 15 GDPR. Tuttavia ha tenuto conto di diversi fattori attenuanti: la natura colposa della violazione, l’assenza di precedenti pertinenti, la collaborazione della banca, le continue interlocuzioni con l’interessato e la successiva rinuncia di quest’ultimo alla registrazione dopo il rimborso della somma sottratta. In ragione di ciò, il caso è stato qualificato come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR.

Provvedimenti adottati

In applicazione dell’art. 58, par. 2, lett. b), GDPR, l’Autorità ha ritenuto sufficiente un ammonimento nei confronti di Mediobanca Premier S.p.a., senza applicare una sanzione pecuniaria. Ha inoltre disposto la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno delle violazioni e delle misure adottate. Il provvedimento è impugnabile avanti l’autorità giudiziaria ordinaria nei termini di legge.