Provvedimento del 19 dicembre 2024 [10109772]: risponde tardivamente alla richiesta, ammonito

 Provvedimento del 19 dicembre 2024 [10109772]
Ascolta
Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 10109772]

Provvedimento del 19 dicembre 2024

Registro dei provvedimenti
n. 803 del 19 dicembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso p... il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal Sig. XX in data 04/01/2024, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei Dati personali da p... del Sig. ... ....;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con il reclamo presentato a questa Autorità in data 04/01/2024, il Sig. XX ha lamentato di aver presentato un’istanza di esercizio dei diritti nei confronti del sig. ... ..., Titolare dell’impresa individuale denominata ... ... di ... ..., formulata ai sensi dell’art. 15 del Regolamento UE 679/2016, e di non aver ricevuto tempestivamente riscontro.

In particolare, con il suddetto reclamo il reclamante ha rappresentato quanto segue:

- “Ho lavorato per un’attività ristorativa denominata “... ...” sita in via ...,  , ..., ...  , Italia”;

- “In questo periodo ho effettuato i giorni 21/22 settembre 2023, un corso sulla sicurezza sul lavoro il quale tutt’oggi non ho ricevuto copia”;

- “Nonostante abbia inviato il 1° dicembre il modulo ESERCIZIO DI DIRITTI IN MATERIA DI PROTEZIONE DEI Dati personali alla mail aziendale .......info@gmail.com. Tutt’oggi non ho avuto neanche una risposta”.

2. L’attività istruttoria

Con nota datata 19/01/2024, il Titolare del Trattamento è stato invitato a fornire osservazioni, in ordine ai fatti oggetto di reclamo, nonché ad aderire all’istanza di esercizio dei diritti avanzata dal reclamante.

Non avendo ricevuto alcun riscontro da parte del Titolare del trattamento, in data 19/03/2024, è stata inviata una richiesta di informazioni, ai sensi dell’art. 157 Codice, invitando a far pervenire ogni elemento di informazione utile alla valutazione del caso e, in particolare, il riscontro fornito alla richiesta di accesso ai dati formulata dal reclamante e, ove non vi fosse stato riscontro, le ragioni di fatto e di diritto che hanno condotto alla mancata ottemperanza.

Con nota del 20/03/2024, il Titolare del trattamento, nel fornire riscontro, ha rappresentato che “il sottoscritto ... ..., Titolare di ...... di ... ... ed ex datore di lavoro del [reclamante], ha già inviato la documentazione richiesta in data 08/03/2024, tramite posta certificata dal mio indirizzo scrivente all'indirizzo pec" ...uvlcgil@pec.it ", come da sua espressa richiesta ricevuta sulla mia posta elettronica”.

Essendo tuttavia questa comunicazione inidonea a comprovare l’effettivo riscontro fornito al reclamante, in quanto priva di allegato, è stata formulata un’ulteriore richiesta di informazione, in data 18/04/2024.

Lo stesso 18/04/2024, il titolare, nel riscontrare la richiesta, ha allegato copia della pec inviata alla CGIL di ... in data 08/03/2024, alla quale era stato trasmesso quanto richiesto dal reclamante.

3. L’avvio del procedimento.

Alla luce di quanto sopra, si è provveduto a notificare al Titolare del trattamento, con nota del 9/07/2024, l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento.

Il Titolare ha inviato, in data 01/08/2024, i propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con cui ha argomentato che:

- “[il] documento è stato trasmesso via pec e in data 8 marzo 2024 all’Ufficio Vertenze della sede della CGIL in ... (organizzazione dalla quale [il reclamante] ha ritenuto di farsi rappresentare)”;

- “posto che il Sig. ... è venuto ad effettiva e formale conoscenza della richiesta del [reclamante] il giorno della ricezione della Vostra prima missiva del 19 gennaio 2024, l’aver adempito l’8 marzo dello stesso anno (dunque 49 giorni dopo la richiesta) costituisce, a tutto concedere, un lieve inadempimento tal da non meritare alcuna reazione sanzionatoria”.

4. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che il Sig. ... ..., in qualità di Titolare del trattamento, ha effettuato alcune operazioni di trattamento, riferite al reclamante, che risultano non conformi alla disciplina in materia di protezione dei dati personali.

In proposito si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Nel merito, è emerso che il Titolare del Trattamento non ha dato riscontro all’istanza di esercizio dei diritti, presentata dal reclamante ai sensi dell’art. 15 del Regolamento, e che, solo a seguito della presentazione del reclamo e dell’apertura dell’istruttoria da p... del Garante, è stato consentito l’accesso ai Dati personali e alle ulteriori informazioni riferite al rapporto di lavoro intercorso con la p.... L’adempimento è dunque avvenuto oltre il termine previsto dal Regolamento.

Infatti, l’art. 12, par. 3, del Regolamento prevede che “il Titolare del Trattamento [debba fornire] all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa” e che, benché tale termine possa essere “prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste”, il Titolare del Trattamento è pero tenuto a informare l'interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta.

Sulla base delle suesposte ragioni il Titolare ha pertanto violato i principi di trasparenza e correttezza (v. art. 5, par. 1, lett. a) del Regolamento) e, in particolare, l’obbligo di fornire un riscontro intelligibile e facilmente accessibile (art. 12 del Regolamento) all’istanza di accesso presentata ai sensi dell’art. 15 del Regolamento, contenente tutte le specifiche informazioni richieste dall’interessato con riferimento alle categorie di dati allo stesso riferiti trattati dal titolare.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal Titolare del Trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Risulta, quindi, accertato che la condotta posta in essere dal titolare, con riferimento al mancato riscontro all’istanza di accesso presentata dal reclamante, risulta infatti illecita, nei termini suesposti, in relazione agli artt. 12, par. 3, e 15 del Regolamento.

Preso atto tuttavia di tutti gli elementi acquisiti nel corso dell’istruttoria, in particolare tenuto conto del carattere colposo della violazione, dell’assenza di precedenti violazioni pertinenti e della condotta complessivamente tenuta dal Titolare del trattamento, considerato anche che si tratta di un’impresa individuale, si ritiene che il caso possa essere qualificato come “violazione minore” ai sensi dell’art. 83, par. 2 e cons. 148 del Regolamento.

Tenuto inoltre conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il Titolare del Trattamento ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

Si rappresenta, inoltre, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del Trattamento effettuato dal Sig. ... ..., C.F. XX, nell’esercizio dell’attività di impresa, in qualità di Titolare dell’impresa individuale ... ... di ... ..., sita in ... (PI), via ... Snc ai sensi dell’art. 143 del Codice, per la violazione degli artt. 12, par. 3, e 15 del Regolamento;

ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce il Sig. ... ..., quale Titolare del Trattamento in questione, per aver effettuato un Trattamento di Dati personali in violazione della disciplina in materia di protezione dei dati personali;

DISPONE

l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del Regolamento con il presente provvedimento, come previsto dall’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 19 dicembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi