Comunicazione consegnata presso struttura operativa titolare

Configura idoneo esercizio dei diritti dell’interessato ai sensi della normativa privacy anche la comunicazione consegnata a mano presso una struttura operativa del titolare.

>>>Leggi l’Ordinanza ingiunzione n. 322 del 6 ottobre 2022<<<

1. I fatti

Un volontario che aveva prestato la propria attività presso una cooperativa sociale, lamentava al Garante per la protezione dei dati personali che la predetta cooperativa sociale non aveva dato riscontro alla istanza di esercizio dei diritti dal medesimo formulata ai sensi dell’art. 12 del Regolamento europeo per la protezione dei dati personali (di seguito “GDPR”).
In particolare, il reclamante sosteneva di aver rassegnato le proprie dimissioni quale socio volontario della cooperativa, presentando una apposita lettera presso la sede della RSA dove aveva prestato servizio (che era una delle strutture operative della cooperativa sociale) e all’ interno di detta lettera di dimissioni aveva contestualmente richiesto alla cooperativa che venissero cancellati tutti i suoi dati personali presenti negli archivi fisici e informatici della cooperativa medesima.
Nonostante la suddetta istanza, tuttavia, la cooperativa non dava alcun riscontro in ordine alla suddetta richiesta di cancellazione dei dati, neanche dopo che il reclamante aveva inviato un apposito sollecito.
In considerazione di ciò, il Garante per la protezione dei dati personali avviava il procedimento sanzionatorio nei confronti della cooperativa sociale, chiedendo a quest’ ultima di presentare eventuali scritti difensivi fornendo la propria versione dei fatti.
Nelle proprie difese, la cooperativa sociale sosteneva, in primo luogo, di aver fornito al reclamante l’apposita informativa privacy, ai sensi dell’art. 13 GDPR, al momento della sua assunzione, all’ interno della quale aveva indicato il periodo di conservazione dei suoi dati personali.
In secondo luogo, la cooperativa sosteneva che la comunicazione con cui il reclamante aveva rassegnato le proprie dimissioni da socio volontario non era idonea a configurare una vera e propria istanza di esercizio dei diritti ai sensi dell’art. 12 del GDPR, mancandone i requisiti minimi formali e sostanziali, in quanto la lettera era stata consegnata a mano presso la sede della RSA (cioè un’unità operativa della cooperativa), il suo oggetto non faceva riferimento all’esercizio dei diritti dell’interessato ed era stata indirizzata a dei referenti gestionali della struttura. Secondo la cooperativa, inoltre, l’istanza era viziata perché con la stessa non veniva neanche formulata una vera e propria richiesta formale al titolare di cancellare i dati personali in base all’esercizio di un diritto, ma si faceva riferimento ad una cancellazione automatica dei dati ed entro un termine del tutto arbitrario.

Potrebbero interessarti anche

• Consegna di referti medici alla paziente sbagliata: multa del Garante
• Notifica verbale di accertamento, è valida anche senza prova dell’avvenuta consegna della raccomandata?
• Provvedimento sulla consegna nel mandato di arresto europeo: il consegnando non partecipa all’udienza

2. Le valutazioni del Garante

Il Garante ha ritenuto accertato che la cooperativa non abbia fornito riscontro alla richiesta di cancellazione dei dati personali formulata dal reclamante con la comunicazione oggetto di reclamo, entro il termine previsto dall’art. 13 del GDPR (secondo cui il titolare deve fornire un riscontro alle richieste di esercizio dei diritti da parte dell’interessato senza ingiustificato ritardo e comunque al più tardi entro 30 giorni dal ricevimento dell’istanza) ed inoltre non ha provveduto a informare l’istante, entro il medesimo termine, dei motivi per cui non poteva dare seguito alla richiesta di esercizio dei diritti e della possibilità di proporre reclamo all’autorità.
Secondo il Garante, la comunicazione di cui si discute, anche se aveva come oggetto il riferimento alle “Dimissioni” del reclamante, conteneva comunque la richiesta di cancellazione dei dati personali ed è stata correttamente ricevuta dalla cooperativa, come dimostra il fatto che quest’ultima ha dato riscontro al reclamante precisando che il Consiglio di amministrazione aveva accolto le sue dimissioni.
In considerazione di ciò, il Garante ha ritenuto infondata la difesa della cooperativa secondo cui l’istanza era viziata per non essere stata inviata ai soggetti istituzionalmente competenti.

3. La decisione del Garante

In considerazione di tutto quanto sopra, il Garante ha ritenuto accertato che la cooperativa non ha fornito tempestivo riscontro all’ istanza di cancellazione dei dati che era stata formulata dal reclamante, entro i termini previsti dal richiamato art. 12 del GDPR e che la cooperativa ha provveduto a informare il reclamante dei motivi che non rendevano possibile procedere alla cancellazione dei dati soltanto dopo che è intervenuto il Garante.
Per tali ragioni, l’Autorità ha ritenuto che la condotta posta in essere dalla cooperativa sociale costituisce una violazione dell’art. 12 GDPR e dell’obbligo ivi previsto di fornire riscontro all’interessato senza ingiustificato ritardo e comunque entro 30 giorni dalla ricezione dell’istanza.
In conclusione, posto che le difese formulate dal titolare del trattamento non sono state ritenute idonee a superare i rilievi dell’Autorità e la violazione di cui sopra, il Garante ha deciso di applicare una sanzione amministrativa pecuniaria alla cooperativa. Per quanto concerne la quantificazione di detta sanzione, il Garante ha valutato, da un lato, la natura rilevante della violazione in quanto inerente le disposizioni relative all’ esercizio dei diritti degli interessati e il fatto che la violazione si è protratta per un lungo periodo; dall’altro lato, ha considerato l’ assenza di precedenti violazioni dello stesso tipo commesse dal titolare del trattamento e che quest’ ultimo ha cooperato con l’Autorità di controllo nonché la sua natura di cooperativa sociale. In considerazione di tutto quanto sopra ed al fine di applicare una sanzione che sia effettiva, proporzionale e dissuasiva, anche in considerazione delle condizioni economiche del titolare del trattamento (tenendo conto dei ricavi che la cooperativa medesima ha conseguito e riferiti all’ ultimo bilancio depositato), il Garante ha ritenuto di poter applicare quantificare la sanzione di carattere pecuniario nei confronti del titolare del trattamento nella misura di €. 10.000,00 (diecimila).