g-docweb-display Portlet

Provvedimento del 26 febbraio 2020 [9365135]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9365135]

Provvedimento del 26 febbraio 2020

Registro dei provvedimenti
n. 40 del  26 febbraio 2020

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo, presentato ai sensi dell’art. 77 del Regolamento, con il quale il sig. XX, in data XX 2018, ha lamentato il mancato riscontro a una “richiesta di esercizio di diritti in materia di protezione dei dati personali, ai sensi degli artt. 15-22 del Regolamento (UE) 2016/679” inviata all’Università degli Studi di Camerino per il tramite del Responsabile della protezione dei dati personali, chiedendo al Garante di:

- “rivolgere a questi o al responsabile del trattamento avvertimenti o ammonimenti sul fatto che detti trattamenti possono verosimilmente violare, ovvero abbiano violato, le disposizioni vigenti in materia”;

- “di ingiungere al titolare del trattamento di soddisfare le richieste di esercizio dei diritti di cui agli articoli da 15 a 22 del Regolamento (…)”;

VISTA la nota (prot. n. XX del XX 2019), con la quale l’Ufficio ha invitato la predetta Università a fornire riscontro alle richieste avanzate dal reclamante;

VISTA la nota del XX 2019 con la quale il dott. XX, DPO dell’Università, ha rappresentato che:

- “colpevolmente mi sono accorto solo in ritardo della e-mail del sig. XX (…)”;

- “(…) c’è la piena volontà dell’Università di adempiere alla richiesta, non avendo ottemperato esclusivamente per mera disattenzione”;

VISTA, la nota (prot. n. XX), con la quale, XX, Rettore dell’Università ha dato seguito all’invito di questo Dipartimento a fornire riscontro alla istanza di accesso ai dati personali del Sig. XX, dichiarando che:

- “con riferimento alla richiesta in oggetto, (…) ad avviso di questa amministrazione, essa avrebbe dovuto più correttamente essere inviata all’indirizzo del Titolare del trattamento dei dati (…) e non a quello del Responsabile Protezione Dati (…); tuttavia questa amministrazione si scusa per il ritardo nel riscontro e manifesta la piena volontà di assecondare le (…) richieste”;

VISTA, la nota (prot. n. XX), con la quale l’Ufficio, sulla base degli elementi acquisiti, anche attraverso la documentazione inviata e i fatti emersi nel corso dell’attività istruttoria, ha notificato all’Università, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento avente ad oggetto le presunte violazioni degli artt. 12, par. 3 e 15 del Regolamento, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

In particolare l’Ufficio ha rappresentando che:

il Regolamento agli artt. 12 e ss, disponendo in materia di “diritti dell’interessato”, prevede il diritto dell’interessato di ottenere dal titolare del trattamento l’accesso ai dati personali e a specifiche informazioni sul trattamento dei dati allo stesso riferiti (art. 15 e Considerando 63 del Regolamento). Ciò, a meno che non ricorra uno dei casi di limitazione dei diritti dell’interessato tassativamente indicati all’art. 23 del Regolamento e all’art. 2-undecies del Codice, i quali non risultano conferenti rispetto alla fattispecie in esame;

sulla base degli elementi acquisiti in atti e dell’attività istruttoria svolta, risulta accertato che l’Università di Camerino, ha dato riscontro alla richiesta di accesso ai dati personali della reclamante solo a seguito dell’invito formulato dall’Ufficio nell’ambito del procedimento relativo al reclamo presentato dalla sig. XX ai sensi dell’art. 77 del Regolamento; ciò, in violazione dell’art. 12, par. 3 e dell’art. 15 del Regolamento;

CONSIDERATO che con nota (prot. n. XX), l’Università ha fatto pervenire le proprie memorie difensive, rappresentando, in particolare, che:

- “La notifica della violazione di cui all’art. 166, comma 5, del D.lgs 30 giugno 2003 n. 196 e dell’art. 58, par. 1, lett. d), del Regolamento (UE) 2016/679 (…) è tardiva con conseguente invalidità dell’intero procedimento nonché del verbale impugnato del Parlamento europeo e del Consiglio, del 27 aprile 2016 (…). Ai sensi della deliberazione del Garante per la Protezione dei dati personali in data 4 aprile 2019 (…) “la comunicazione delle presunte violazioni (art. 166, comma 5, del Codice) deve essere effettuata entro 120 giorni dall’accertamento della violazione” (…) il dies a quo, infatti va fatto risalire dall’Università dal “momento della notifica dell’invito a fornire riscontro pervenuto all’Università di Camerino in data XX”;

- “L’Istanza del XX è stata trasmessa al Responsabile della Protezione dei dati personali presso la casella pec rpd@pec.unicam.it e non correttamente alla pec protocollo@pec.unicam.it del titolare del trattamento dei dati personali, ovvero dell’Università di Camerino. (…). Nessun ritardo è dunque addebitabile all’Università di Camerino”;

- “Questo Ateneo evidenzia, altresì, l’ulteriore violazione della previsione di cui al 62 Considerando del Regolamento UE (…). “il XX è dipendente dell’Università di Camerino ed è stato, a suo tempo, uno studente (…). È dunque naturale che l’Università di Camerino sia Titolare del Trattamento dei dati e che tale trattamento consista nella conservazione dei dati forniti dal XX stesso per le finalità tipiche dell’istaurazione e l’esecuzione del contratto di lavoro e dunque previsti dalla legge. L’Università di Camerino, pertanto, non ha certamente violato alcun interesse in capo al XX a conoscere un dato che era già in suo possesso e che non poteva aggiungere nulla in più rispetto alle sue conoscenze”.

RILEVATO che le argomentazioni addotte dall’Università, volte a dimostrare l’infondatezza di quanto contestato, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e non risultano idonee a determinare l’archiviazione del procedimento, in quanto:

- l’art. 166, comma 5 del Codice prevede che “L’Ufficio del Garante, quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni (…) avvia il procedimento per l’adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni”; 

- il termine di 120 giorni per la comunicazione delle presunte violazioni, decorre, secondo quanto riportato nell’allegato 1, Tabella B, del Regolamento n. 2/2019 del 4 aprile 2019 concernente l’individuazione dei termini e delle unità organizzative responsabili dei procedimenti amministrativi presso il Garante per la protezione dei dati personali, dall’accertamento della violazione che, nel caso in esame, è stato effettuato in data 19 settembre 2019 e notificato al titolare del trattamento via pec con prot. n. XX;

- l’invio dell’istanza di esercizio dei diritti alla e-mail del RDP anziché all’indirizzo protocollo@pec.unicam.it, non può giustificare il mancato rispetto da parte del titolare del diritto del reclamante di poter accedere ai propri dati personali, considerato che ai sensi dell’art. 28, par. 4, del Regolamento “gli interessati possono contattare il responsabile per la protezione dei dati per tutte le questioni relative al trattamento dei loro dati e all’esercizio dei loro diritti derivanti dal … regolamento” medesimo;

- il Regolamento agli artt. 12 e ss, prevede il diritto dell’interessato di ottenere dal titolare del trattamento l’accesso ai dati personali e a specifiche informazioni sul trattamento dei dati allo stesso riferiti a meno che non ricorra uno dei casi di limitazione dei diritti dell’interessato tassativamente indicati all’art. 23 del Regolamento e all’art. 2-undecies del Codice. Il riferimento al Considerando 62 del Regolamento appare inconferente in quanto tale disposizione non rappresenta un limite all’esercizio del diritto di accesso da parte dell’interessato ma esplicita le ipotesi in cui non è necessario fornire agli interessati le informazioni di cui agli art. 13 e 14 del Regolamento;

- l’art. 12, par. 4 del Regolamento prevede che, “Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”;

RILEVATO quindi che, in base alle risultanze dell’attività istruttoria, è emerso che il titolare del trattamento con la propria condotta ha violato gli artt. 12, par. 3 e 15 del Regolamento avendo fornito riscontro all’istanza di accesso del reclamante solo a seguito dell’invito ad aderire alle richieste di quest’ultimo, formulato dall’Ufficio;

CONSIDERATO che, il titolare del trattamento, nella nota XX 2019, si è scusato per il mancato riscontro all’istanza di accesso formulata dal reclamante, con nota XX 2018 e ha manifestato la propria volontà di assecondare le sue richieste;

CONSIDERATO che, sulla base degli atti, l’episodio risulta essere un caso isolato determinato da una “mera disattenzione” e quindi da una condotta avente carattere colposo e che, pertanto, le circostanze inducono a qualificare il caso come “violazione minore”, ai sensi del dell’art. 83, par. 2, e del considerando 148 del Regolamento; 

RITENUTO, pertanto che, relativamente al caso in esame occorra ammonire il titolare del trattamento, ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per aver violato gli artt. 12, par. 3 e 15 del Regolamento, avendo fornito riscontro all’istanza di accesso del reclamante solo a seguito dell’invito ad aderire alle richieste di quest’ultimo, formulato dall’Ufficio e che non vi siano i presupposti per l’adozione di ulteriori provvedimenti da parte dell’Autorità;

RITENUTO che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dall’Università degli studi di Camerino descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 12, par. 3 e 15 del Regolamento medesimo, per il mancato riscontro all’istanza di accesso ai dati personali del reclamante;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Università, quale titolare del trattamento in questione, per aver violato gli artt. 12, par. 3 e 15 del Regolamento, avendo fornito riscontro all’istanza di accesso del reclamante solo a seguito dell’invito ad aderire alle richieste di quest’ultimo, formulato dall’Ufficio;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 febbraio 2020

IL PRESIDENTE
SORO

IL RELATORE
IANNINI

IL SEGRETARIO GENERALE
BUSIA