Il mancato riscontro alle richieste di esercizio dei diritti sui propri dati personali da parte dell’interessato costituisce violazione della normativa privacy

1.  I fatti
2. La valutazione del Garante
3. La decisione del Garante

Garante per la protezione dei dati personali: Ordinanza ingiunzione n.126 del 7 aprile 2022

>>>Leggi l’ordinanza completa<<<

1. I fatti

Il Garante per la protezione dei dati personali aveva ricevuto un reclamo da parte di un interessato, il quale aveva riferito che una società non gli aveva fornito alcun riscontro a fronte di una sua esplicita richiesta di avere informazioni in ordine al trattamento dei suoi dati personali.

In particolare, il reclamante sosteneva di aver ricevuto una telefonata da parte di tale società e di aver quindi indicato in maniera espressa di non essere interessato e di non voler più ricevere alcun contatto da tale società. Nonostante tale espressa opposizione, l’interessato aveva ricevuto una seconda chiamata da detta società e pertanto egli aveva richiesto alla medesima in maniera espressa di avere informazioni su come la stessa società avesse acquisito il suo numero di telefono: a fronte di tale richiesta, l’operatrice telefonica aveva comunicato genericamente all’interessato che la società aveva ricevuto il contatto telefonico da una società di tele – marketing. In considerazione del fatto che il reclamante non aveva mai prestato il proprio consenso affinché i suoi dati personali fossero pubblicati in liste o elenchi o che comunque i medesimi fossero usati per finalità commerciali, il medesimo inviava alla società l’apposito modulo presente sul sito del Garante privacy per esercitare i propri diritti in materia di trattamento dati, chiedendo alla società di fornire il nominativo dell’azienda di tele marketing che aveva fornito i suoi dati personali e dichiarava altresì di opporsi al trattamento dei suoi dati, chiedendo la cancellazione dei medesimi dal data base della società.

Nonostante tale espressa richiesta, tuttavia, il reclamante lamentava di non aver ricevuto alcun riscontro dalla società.

In considerazione di ciò, il Garante ha avviato l’istruttoria nei confronti della società per verificare le possibili violazioni alla normativa in materia di privacy: precisamente l’aver omesso di fornire riscontro a una richiesta di informazioni formulata dall’interessato e alle richieste di accesso ai dati e di cancellazione formulate dall’interessato nonché aver effettuato due chiamate telefoniche all’interessato senza aver acquisito preventivamente il suo consenso.

2. La valutazione del Garante

Nonostante l’avvio dell’istruttoria e la conseguente richiesta da parte del Garante per la protezione dei dati personali, rivolta alla società, di fornire i propri chiarimenti in ordine agli addebiti mossi dal reclamante medesimo e di inviare al Garante le proprie difese in merito, la società ha deciso di non interloquire con il Garante.

Anche in considerazione di ciò, l’Autorità ha ritenuto che il procedimento fosse istruito in maniera sufficiente già con il solo reclamo dell’interessato e che sia stata raggiunta la prova piena della responsabilità della società in ordine agli addebiti mossi dal reclamante.

Pertanto, il Garante ha ritenuto che la società abbia omesso di fornire un riscontro all’interessato in ordine all’esercizio dei suoi diritti, in quanto – nonostante una espressa richiesta di avere informazioni sui trattamenti che lo riguardavano (in particolare sull’origine dell’acquisizione del numero di telefono mobile di quest’ultimo) e nonostante una altrettanto espressa opposizione al trattamento del suddetto dato e la conseguente richiesta di sua cancellazione – la società non ha fornito alcuna risposta all’interessato, anche dopo essere stata sollecitata a distanza di 30 giorni.

In secondo luogo, il Garante ha ritenuto provato che nella prima telefonata ricevuta dall’interessato, quest’ultimo avesse indicato in maniera espressa all’operatrice, che lo aveva contattato, la propria opposizione a ricevere ulteriori telefonate, ma che – nonostante ciò – la società aveva successivamente chiamato l’interessato al telefono mobile, dimostrando così di non aver tenuto conto della volontà manifestata dal medesimo.

Infine, il Garante ha accertato che la società ha omesso di fornire riscontro anche alle richieste di informazioni e di esibizione di documenti che erano state formulate dal Garante, nel corso dell’istruttoria del procedimento: in tal modo, la società ha reso più complessi gli adempimenti istruttori del Garante ed ha quindi rallentato l’azione amministrativa dell’Autorità medesima. A tale ultimo proposito, il Garante ha altresì precisato che le richieste di informazioni da parte del Garante erano state formulate mediante l’invio di posta elettronica certificata all’ indirizzo della società e che detto indirizzo era risultato perfettamente funzionante in quanto il sistema aveva restituito le attestazioni di accettazione del messaggio e di sua avvenuta consegna nella casella del destinatario: ciò ha quindi determinato il perfezionamento della notifica della richiesta di informazioni nei confronti della società.

In conclusione, il Garante ha ritenuto che le suddette condotte poste in essere dalla società configurino una violazione della normativa in materia di trattamento dei dati personali.

Potrebbero interessarti anche:

• Il titolare del trattamento dati ha l’obbligo di vigilare costantemente l’operato del Responsabile
• DPO, consulente esperto nel trattamento dati personali
• Trattamento dati giudiziari: ok del Garante per maggiori tutele

3. La decisione del Garante

In considerazione dell’esito dell’istruttoria svolta, il Garante ha ritenuto necessario sanzionare la società, in primo luogo, rivolgendole un avvertimento affinché non effettui dei trattamenti della medesima specie di quelli descritti dal reclamante, senza aver preventivamente acquisito il consenso dell’interessato.

In secondo luogo, ha ingiunto alla società di soddisfare e dare riscontro alle richieste che erano state formulate dal reclamante, con riferimento all’esercizio dei diritti in ordine ai suoi dati personali.

In terzo luogo, ha imposto alla società il divieto di effettuare ogni ulteriore trattamento dei dati personali del reclamante.

Infine, il Garante ha adottato altresì un’ordinanza ingiunzione, avente ad oggetto il pagamento della sanzione pecuniaria, nei confronti della società. In particolare, l’Autorità, tenuto conto delle condotte omissive poste in essere da parte della società (che non ha fornito alcun riscontro alle richieste del reclamante e persino del Garante medesimo) nonché del comportamento tenuto dalla società nel corso del procedimento (che lo ha rallentato) e tenuto altresì conto del fatturato registrato dalla società nel corso del 2019 e del contesto economico generale dovuto alla situazione di emergenza sanitaria mondiale, ha deciso di comminare alla società una sanzione economica di €. 20.000.

Volume consigliato: