Garante Privacy – Diritto di accesso e sanzione al titolare trattamento dati

Incorre in sanzioni il titolare del trattamento che trascura l’istanza di accesso proposta ai sensi del regolamento europeo sulla protezione dei dati. Anche se la domanda è complessa perché l’interessato chiede pure copia dei documenti conservati. Lo ha evidenziato il Garante privacy con l’ordinanza ingiunzione n. 236 del 16 giugno 2022.

 

***************************

Ordinanza ingiunzione nei confronti di  Federazione Italiana Nuoto – 16 giugno 2022

Registro dei provvedimenti
n. 236 del 16 giugno 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato al Garante ai sensi dell’articolo 77 del Regolamento in data 25 marzo 2021, con il quale la Sig.ra XX ha lamentato una presunta violazione del Regolamento, con specifico riferimento al mancato riscontro alla richiesta di accesso ai dati personali formulata ai sensi dell’art. 15 del Regolamento nei confronti della Federazione Italiana Nuoto;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Il reclamo e l’attività istruttoria.

Con il reclamo presentato a questa Autorità il 25 marzo 2021, la Sig.ra XX ha lamentato di non avere ottenuto riscontro, da parte della Federazione Italiana Nuoto (di seguito “Associazione” o “Federazione”), a un’istanza di accesso ai dati personali avanzata, in data 7 febbraio 2021, ai sensi dell’art. 15 del Regolamento; tale richiesta, pervenuta anche all’indirizzo e-mail del Responsabile della protezione dei dati dell’Associazione, era volta ad ottenere “accesso e copia dei documenti contenenti i [propri] dati personali” (v. istanza di reclamo del 25 marzo 2021, All. 5). La predetta istanza è stata inoltre trasmessa, in data 10 febbraio 2021, alla Segreteria generale della Federazione italiana nuoto (v. istanza di reclamo del 25 marzo 2021, All. 6).

A seguito dell’invito, formulato dall’Ufficio il 19 aprile 2021, a fornire osservazioni in ordine ai fatti oggetto del reclamo, l’Associazione, con nota del 30 aprile 2021, ha innanzi tutto dichiarato che la reclamante “ha svolto una mera richiesta di accesso agli atti, la quale nulla ha a che vedere con le competenze di tutela dei dati personali, non avendo richiesto, né dedotto alcuna violazione del trattamento da parte della Federazione” (v. nota del 30 aprile 2021, pag. 1). Ha altresì precisato che la predetta “richiesta di accesso ai documenti amministrativi è stata peraltro erratamente formulata in quanto incompleta, non avendo rappresentato ai fini della corretta procedura ai sensi della legge 241/90 i riferimenti relativi all’interesse di cui si chiede la tutela e le finalità specifiche richieste dalla normativa” (v. nota del 30 aprile 2021, pag. 2).

Con comunicazione del 29 novembre 2021 l’Ufficio, sulla base della documentazione in atti e degli elementi acquisiti nel corso dell’istruttoria, ha provveduto a notificare alla Federazione italiana nuoto l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83, del Regolamento in relazione alla violazione degli artt. 12 e 15, dello stesso; ciò in conformità a quanto previsto dall’art. 166, comma 5, del Codice.

Al riguardo, l’Associazione, con nota del 31 gennaio 2022, ha fatto pervenire i propri scritti difensivi, qui integralmente richiamati, con i quali ha, in particolare, ribadito che:

nei casi di tesseramento alla Federazione italiana nuoto nella categoria «amatori» “non vi è alcun trasferimento di documentazione alla Federazione in quanto il regolamento vigente prevede la conservazione solo agli atti della società proponente (..). Il testo del regolamento è chiaro nell’escludere qualsiasi gestione e conservazione dei dati da parte della FIN essendo previsto tale dovere solo in capo alla società che deve conservarli e renderli disponibili solo ed esclusivamente nel caso di controlli della Federazione (…). In ragione di quanto precede appare evidente che la richiesta di accesso agli atti svolta dalla Signora XX non poteva essere evasa dalla FIN per le ragioni di carenza di legittimazione passiva della stessa” (v. nota del 31 gennaio 2022, pagg. 2-3);

l’Associazione, a seguito dell’apertura dell’istruttoria da parte del Garante, ha provveduto a trasmettere, con comunicazione del 14 dicembre 2021, la documentazione contenente i dati personali della reclamante; ciò anche “al fine di comprovare, ove occorresse, la completa disponibilità a collaborare” con l’Autorità (v. nota del 31 gennaio 2022, pagg. 1 e 3).

2. L’esito dell’istruttoria.

In primis si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Tanto doverosamente premesso, all’esito dell’esame della documentazione agli atti e delle dichiarazioni rese dalla Federazione italiana nuoto nel corso del procedimento, è stato accertato che la predetta Associazione, in qualità di titolare del trattamento – condizione mai contestata nel caso di specie –, non ha fornito riscontro all’istanza di accesso ai dati personali formulata dalla reclamante, entro il termine previsto dall’art. 12, par. 3, del Regolamento; parimenti la stessa non ha provveduto a informare l’istante, entro il medesimo termine, dei motivi dell’inottemperanza né della possibilità di presentare reclamo a un’autorità di controllo nonché di proporre ricorso giurisdizionale (art. 12, par. 4, del Regolamento).

E’, infatti, emerso che l’istanza di esercizio dei diritti è stata regolarmente notificata alla Federazione, circostanza confermata altresì dallo stesso titolare nel riscontro fornito al Garante il 30 aprile 2021 (v. nota del 30 aprile 2021, pagg. 1-3).

La predetta comunicazione, inoltre, a differenza di quanto sostenuto dall’Associazione in ordine alla qualificazione della stessa in termini di richiesta di accesso ai documenti ai sensi della l. del 7 agosto 1990, n. 241, era chiaramente individuabile quale istanza di esercizio dei diritti ai sensi della normativa di protezione dei dati personali; ciò in quanto recante espressamente la dicitura “Richiesta di Accesso ai dati personali ex artt. 15 -22 del Regolamento 679/2016” sia nell’oggetto del messaggio di posta elettronica recante l’istanza, sia nel corpo della predetta comunicazione e del file allegato alla stessa (v. istanza di reclamo del 25 marzo 2021, Allegati 5 e 6).

Il titolare, pertanto, avrebbe dovuto fornire puntuale riscontro nei termini e con le modalità di cui agli artt. 12 e 15, del Regolamento, a nulla rilevando la “carenza di legittimazione passiva” addotta dalla Federazione a giustificazione dell’omessa risposta.

Il reclamo promosso dalla Sig.ra XX, dunque, alla luce delle considerazioni sopra evidenziate, risulta fondato, dovendosi ravvisare, a carico della Federazione italiana nuoto, l’omesso tempestivo riscontro all’istanza di accesso formulata dalla stessa in violazione degli artt. 12, paragrafi 3 e 4, e 15, del Regolamento.

In considerazione dell’adempimento spontaneo da parte del titolare nel corso del procedimento (v. infra par. 1), non sussiste invece il presupposto per adottare un provvedimento rispetto alla richiesta di “ingiungere al titolare del trattamento di soddisfare le richieste di esercizio dei diritti di cui agli artt. da 15 a 22 del Regolamento” (v. istanza di reclamo del 25 maro 2021, pag. 4).

3. Conclusioni: illiceità dei trattamenti effettuati.

Alla luce delle valutazioni che precedono, si rileva che le dichiarazioni rese dal titolare del trattamento nelle memorie difensive, seppure meritevoli di considerazione e della cui veridicità si può essere chiamati a rispondere ai sensi del citato art. 168 del Codice, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentirne l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

Per i suesposti motivi, pertanto, si dichiara fondato il reclamo presentato ai sensi dell’art. 77 del Regolamento e, nell’esercizio dei poteri correttivi attribuiti all’Autorità ai sensi dell’art. 58, par. 2, del Regolamento, si dispone l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, del Regolamento.

4. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali riferito al reclamante, di cui è stata accertata l’illiceità, nei termini sopra esposti.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione, il fatto che la violazione ha riguardato il rispetto dei diritti dell’interessato;

per quanto concerne l’elemento soggettivo del trasgressore, la circostanza che la condotta è stata posta in essere in ragione di un’erronea qualificazione dell’istanza da parte del titolare quale richiesta di accesso ai documenti, in parte dovuta anche alla formulazione utilizzata dalla reclamante (nella specie, “chiedo accesso e copia dei documenti contenenti i dati personali”; v. in merito, istanza di reclamo del 25 marzo 2022, All. 5).

la collaborazione della Federazione con l’Autorità medesima nel corso del procedimento;

l’assenza di precedenti violazioni per la medesima fattispecie a carico della stessa;

le sopra esposte circostanze relative all’azione intrapresa dal titolare del trattamento nel corso del procedimento dinanzi all’Autorità (v. infra par. 1).

In ragione dei suddetti elementi, valutati nel loro complesso, nonché della particolare natura del titolare (quale ente associativo che non persegue finalità di lucro), si determina l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila) per la violazione degli artt. 12, paragrafi 3 e 4, e 15, del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata attinente al rispetto di uno dei principali adempimenti imposti al titolare del trattamento dalla normativa di protezione dei dati personali, si ritiene che si debba procedere, ai sensi dell’art. 166, comma 7, del Codice, alla pubblicazione del presente provvedimento sul sito internet del Garante (v. anche art. 16, comma 1, del regolamento del Garante n. 1/2019).

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

a) dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, l’illiceità del trattamento effettuato dalla Federazione Italiana Nuoto, con sede in Roma presso Stadio Olimpico curva nord SNC, P.I. 01384031009, nei termini di cui in motivazione, per la violazione degli artt. 12, paragrafi 3 e 4, e 15, del Regolamento;

b) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

ORDINA

c) ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, alla predetta Federazione Italiana Nuoto di pagare la somma di euro 2.000,00 (duemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

d) quindi alla medesima Associazione di pagare la somma di euro 2.000,00 (duemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

e) ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.
Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 giugno 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei

 

Scheda

Doc-Web
9803309
Data
16/06/22

Argomenti


Tipologie