Prescrizioni del Garante n. 325 del 04/06/2025

Pluriass S.r.l. - trattamento illecito nella gestione di una pratica di rimborso assicurativo con dati sanitari di minore

Il provvedimento riguarda Pluriass S.r.l., agenzia mandataria di UnipolSai Assicurazioni S.p.a., nell’ambito della gestione di una richiesta di rimborso collegata all’annullamento di un viaggio di istruzione per motivi sanitari che coinvolgeva una minore. L’istruttoria è stata avviata a seguito della segnalazione del genitore dell’interessata.

Fatti all’origine della segnalazione

Il reclamante ha riferito che, per ottenere il rimborso della quota del viaggio non effettuato, la scuola aveva indicato come gestore della pratica la società Pluriass. Per istruire il sinistro, veniva chiesta la firma di un modulo privacy da parte di uno dei genitori, stante la minore età della figlia, e successivamente anche la produzione di documentazione sanitaria relativa al ricovero.

Attività istruttoria e posizioni delle parti

A seguito della richiesta di informazioni ex art. 157 Codice privacy, Pluriass ha spiegato di operare come intermediario assicurativo e, per i trattamenti connessi all’attività di gestione delle polizze e dei sinistri, come responsabile del trattamento designato da UnipolSai con accordo del 31/08/2020. Secondo la società, la garanzia assicurativa per l’annullamento del viaggio richiedeva la presentazione di certificazione di pronto soccorso o altra documentazione medica idonea a dimostrare l’infortunio o la malattia imprevedibile, mentre la documentazione inizialmente prodotta non consentiva di verificare la patologia; per questo era stata richiesta la cartella clinica.

UnipolSai ha confermato l’assetto di titolarità/responsabilità, richiamando l’accordo con le agenzie e le istruzioni contenute nella "Guida alla Privacy nelle Agenzie". Ha inoltre riferito che l’informativa e il consenso utilizzati nel caso concreto non erano quelli predisposti dalla compagnia, ma un modello autonomo dell’agenzia, e che la mancata trasmissione dell’informativa di compagnia era dipesa da un errore di compilazione non rilevato dall’agenzia.

Profili di non conformità rilevati

Il Garante ha rilevato che Pluriass, pur essendo designata responsabile del trattamento per i trattamenti riconducibili all’intermediazione e gestione assicurativa, si era qualificata nell’informativa come titolare del trattamento ai sensi degli artt. 4 e 24 GDPR. Tale qualificazione era incompatibile con l’accordo del 31/08/2020, che imponeva alla società di consegnare agli interessati le informative predisposte da UnipolSai e di sottoporre loro le richieste di consenso secondo le istruzioni della compagnia.

Inoltre, la società non aveva informato tempestivamente UnipolSai della richiesta di informazioni pervenuta dall’Autorità, in contrasto con l’accordo tra le parti. Il Garante ha quindi considerato la condotta come violazione degli obblighi del responsabile del trattamento ex art. 28 GDPR e, per effetto della fornitura di informazioni non corrette sull’identità del titolare, anche del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a) GDPR.

Valutazione conclusiva del Garante

L’Autorità ha ritenuto che le difese della società non fossero idonee a superare i rilievi formulati in avvio del procedimento. Ha pertanto dichiarato l’illiceità del trattamento effettuato da Pluriass in relazione alla gestione della pratica del reclamante, limitatamente ai profili connessi al mancato rispetto delle istruzioni del titolare e alla non corretta informazione resa all’interessato.

Misure disposte e regime di impugnazione

Il provvedimento dispone:

• la pubblicazione sul sito internet dell’Autorità ai sensi dell’art. 154-bis, comma 3, Codice e dell’art. 37 del Regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Non risultano applicate nel testo fornito sanzioni pecuniarie né ulteriori prescrizioni operative specifiche. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.