[doc. web n. 9948262]

Provvedimento del 28 settembre 2023

Registro dei provvedimenti
n. 431 del 28 settembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “RGPD”);

VISTO in particolare l’articolo 12 del RGPD, rubricato “Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti dell'interessato”;

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, integrato con le modifiche introdotte dal decreto legislativo 10 agosto 2018, n. 101 (di seguito: “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019);

Vista la documentazione in atti;

Viste le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell´ufficio del Garante per la protezione dei dati personali;

Relatore il prof. Pasquale Stanzione;

PREMESSO

XX riceveva, in data 24 ottobre 2022, una istanza di esercizio dei diritti di cui agli articoli 15 e segg. del RGPD da parte dell’interessato, al quale forniva riscontro.

Con reclamo presentato a questa Autorità in data 8 febbraio 2023 l’interessato, oltre a lamentare il tenore del riscontro, si doleva che questo era pervenuto solo in data 1° dicembre 2022, ossia oltre i termini previsti dall’art. 12 del RGPD.

La valutazione, nel merito, del riscontro fornito da XX è stata oggetto di separato provvedimento dell’Ufficio del Garante (nota del 14 giugno 2023, prot. U.0092960), con il quale è stata rilevata la congruità del contenuto del riscontro fornito da XX.

Risultava, tuttavia, che XX avendo fornito riscontro solo in data 1° dicembre 2022 alla richiesta di informazioni ricevuta in data 24 ottobre 2022 - secondo la tempistica indicata nella stessa nota di riscontro all’interessato - aveva presumibilmente violato l’art. 12, comma 3, del RGPD, ai sensi del quale il titolare del trattamento deve fornire all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste, ma il titolare del trattamento deve informare l'interessato di tale proroga e dei motivi del ritardo entro un mese dal ricevimento della richiesta.

Poiché  non risultano allegate né tempestivamente comunicate all’interessato, da parte del titolare, i motivi del ritardo, con nota del 20 giugno 2023.prot. U.0096141. l’Ufficio del Garante comunicava a XX l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD, informandolo della facoltà di inviare, entro trenta giorni dalla comunicazione dell’avvio del procedimento, scritti difensivi o documenti e di chiedere di essere sentito personalmente dalla medesima Autorità.

XX non ha inviato alcuno scritto difensivo, né ha presentato istanza di audizione.

OSSERVA

Dalla documentazione in atti risulta  che XX, in qualità di titolare del trattamento, ha violato la disposizione di cui all’art. 12 paragrafo 3, del RGPD, non avendo rispettato il termine legale di trenta giorni, stabilito dalla stessa norma, per fornire all’interessato le informazioni relative all'azione intrapresa ai sensi degli articoli da 15 a 22 del RGPD; né risulta che il medesimo abbia comunicato all’interessato la necessità della proroga del termine per il riscontro alla richiesta di  informazioni e dei motivi del ritardo, entro un mese dal ricevimento della richiesta, come pure previsto dal predetto art. 12.

Sulla base dei criteri indicati dall’art. 83 del RGPD, considerando che la condotta ha esaurito i suoi effetti, che il riscontro all’esercizio dei diritti dell’interessato è stato comunque fornito, sia pur in ritardo, che non risultano eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento, che il livello del danno subito dall’interessato appare di lievissima entità e che non risultano sussistere eventuali fattori aggravanti, quali benefici finanziari conseguiti o perdite evitate, direttamente o indirettamente, quale conseguenza della violazione, si ritiene che nel caso di specie non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’art. 58, par. 2, lett. i) del Regolamento.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali, nei termini di cui in motivazione, si ritiene di dover ammonire, ai sensi degli artt. 58, par. 2, lett. b) del RGPD, XX, per aver violato l’art. 12, par. 3, del RGPD.

TUTTO CIÒ PREMESSO IL GARANTE

DICHIARA

l'illiceità della condotta di XX, per violazione delle disposizioni di cui all’articolo 12, paragrafo 3, del RGPD, nei termini di cui in motivazione e, per l’effetto,

AMMONISCE

XX per avere violato l’articolo 12, paragrafo 3, del RGPD.

Ai sensi dell’art. 78 del Regolamento, dell’art. 152 del Codice e dell’art. 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede ovvero al tribunale del luogo di residenza dell'interessato, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all'estero.

Roma, 28 settembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei