Il disegno di telecamera è informativa privacy?

L’apposizione di un cartello con il disegno di una telecamera stilizzata non costituisce un’idonea informativa privacy. Sanzione all’Associazione Rescue Drones Network ODV

>>>Leggi l’Ordinanza ingiunzione n. 325 del 6 ottobre 2022<<<

1. I fatti

Il Garante per la protezione dei dati personali aveva ricevuto un reclamo da parte di un soggetto che era stato aderente ad una associazione. In particolare, detto soggetto era stato uno dei soci fondatori di detta associazione e aveva ricevuto, per tale ragione, la disponibilità di un account di posta elettronica nominativo e con il dominio dell’associazione stessa. Nell’ottobre del 2021, tuttavia, il reclamante riferiva di essere stato informato dal rappresentante legale dell’associazione che nei suoi confronti era stato adottato un provvedimento disciplinare in virtù del quale egli aveva perso lo status di associato. Nello stesso giorno, il reclamante si avvedeva che l’account di posta elettronica di cui sopra era stato bloccato e non era da lui più accessibile. Conseguentemente, il reclamante rivolgeva una richiesta al Presidente dell’associazione con cui chiedeva di poter accedere temporaneamente all’account di posta elettronica per poter estrarre copia delle email e degli altri documenti ivi contenuti al fine di predisporre l’azione di opposizione avverso il provvedimento disciplinare irrogato nei suoi confronti.
Nonostante ciò, l’associazione non forniva alcun riscontro al reclamante, il quale nuovamente inviava una richiesta di accesso e precisava che il mancato accoglimento delle sue richieste avrebbe configurato una violazione alla normativa in materia di protezione dei dati personali.
Infine, in considerazione del mancato riscontro anche alla seconda richiesta, il reclamante presentava il reclamo presso il Garante privacy.
A seguito della ricezione del reclamo, il Garante, ritenendo che l’associazione avrebbe effettuato trattamenti di dati personali, ha contestato a quest’ultima l’ipotesi di violazione dei diritti di accesso dell’interessato ai propri dati personali con riferimento all’account di posta elettronica che gli era stato attribuito dall’associazione.
A fronte dell’invito del Garante a fornire la propria posizione in merito ai fatti contestati, l’associazione si difendeva sostenendo, in primo luogo, che il blocco all’accesso dell’account di posta elettronica del reclamante era legittimo in considerazione della sua esclusione dall’associazione. Infatti, secondo quest’ultima, i dati contenuti all’interno della email dell’ex associato non rivestirebbero carattere di dati personali, ma sarebbero di natura non personale, in quanto appartenenti all’associazione medesima, e che qualora vi fossero stati dei dati personali, ciò sarebbe avvenuto in violazione delle norme statutarie, in quanto l’account in questione aveva soltanto finalità associative.
In secondo luogo, l’associazione riferiva che, dopo il blocco della casella di posta elettronica, nessuno aveva avuto accesso ai dati ivi contenuti, né tantomeno detti dati erano stati cancellati. L’unico accesso che vi era stato, era durato pochi minuti ed era dipeso dalla necessità di verificare un possibile problema tecnico che era stato segnalato dal sistema.

Potrebbero interessarti anche

• Un cartello con una telecamera stilizzata non costituisce informativa privacy
• La banca nega l’informativa privacy al cliente: interviene il Garante
• Informativa Privacy Web: non chiamatela “formalità”

2. Le valutazioni del Garante

Il Garante ha ritenuto che dall’istruttoria effettuata sia emerso con certezza che l’associazione abbia “congelato” l’account di posta elettronica che era stato messo a disposizione del reclamante quando egli era associato e che la stessa abbia omesso di dare riscontro alle ripetute richieste di accesso del reclamante ai dati personali contenuti all’interno di detto account. Inoltre, dall’istruttoria è altresì emerso che le richieste di accesso del reclamante erano tutte state formulate ai sensi della normativa in materia di protezione dei dati personali.
Secondo il Garante, il rifiuto da parte dell’associazione di consentire all’ ex associato di poter accedere temporaneamente alla casella di posta elettronica che gli era stata assegnata dall’associazione stessa, al fine di acquisire le informazioni personali ivi presenti è contrario alla normativa in materia di privacy e determina un danno ai diritti e alle libertà dell’interessato.
 Infatti, in ragione della scelta volontaria dell’associazione di non consentire al reclamante l’accesso all’account di posta elettronica, questi non è stato messo in grado di ricostruire il patrimonio informativo che egli aveva realizzato nel corso della propria attività all’interno dell’associazione.
D’altra parte, secondo il Garante, non appare fondata la difesa dell’associazione secondo cui i dati contenuti nell’account di posta elettronica di cui si discute fossero dati dell’associazione medesima né quella secondo cui vi fosse un divieto per il reclamante di usare l’email associativa per finalità personali, in quanto il suddetto divieto non è presente nello Statuto e nel Codice Etico dell’associazione e in quanto il titolare stesso non aveva mai chiarito le modalità di utilizzo delle email associative da parte dei soci, adottando un disciplinare in merito o comunque fornendo informazioni al riguardo.
Ciò precisato, il Garante ha ricordato che l’art. 15 del Regolamento europeo per la protezione dei dati personali (GDPR) stabilisce che l’interessato ha diritto di ottenere dal titolare del trattamento la conferma che sia in corso un trattamento di dati personali che lo riguardano e in caso positivo di avere accesso a detti dati.

3. La decisione del Garante

In considerazione di tutto quanto sopra, il Garante ha ritenuto che il rifiuto da parte dell’associazione di permettere al ex associato di accedere al proprio account di posta elettronica associativo per estrarre copia dei dati personali ivi contenuti costituisce una violazione della normativa privacy e in particolare del richiamato art. 15 del GDPR.
Conseguentemente, il Garante ha ordinato al titolare del trattamento di provvedere a soddisfare le richieste dell’ex associato con riferimento al diritto di accesso ai propri dati personali contenuti nell’ account di posta elettronica associativa e di comunicare al Garante stesso, entro i successivi 30 giorni, documentazione idonea a dimostrare l’adempimento a quanto prescritto.
Per quanto concerne, invece, la quantificazione della sanzione pecuniaria, al fine di stabilire una sanzione che fosse effettiva e dissuasiva nei confronti del titolare (anche rispetto al fatto che fosse un’ associazione impegnata nell’ambito della protezione civile), il Garante ha valutato, da un lato, la gravità del rifiuto posto in essere dal titolare del trattamento e il fatto che quest’ ultimo ha reiterato il proprio rifiuto per diversi mesi; dall’altro lato, ha considerato che il titolare non aveva una finalità lucrativa.
In considerazione di tutto quanto sopra, il Garante ha ritenuto di poter applicare una sanzione di carattere pecuniario nei confronti del titolare del trattamento nella misura di €. 3.000,00 (tremila).