[doc. web n. 9916753]

Provvedimento del 17 maggio 2023

Registro dei provvedimenti
n. 218 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il Prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato dall’Avv. XX in data 03/03/2021, ai sensi dell’art. 77 del Regolamento, con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte del Comitato vittime della Pubblica Amministrazione, rappresentata dal sig. XX;

VISTE le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. L’avvio del procedimento.

Con il reclamo presentato a questa Autorità in data 03/03/2021, l’Avv. XX rappresentava di aver formulato in data 18/11/2020 un’istanza di esercizio dei diritti, nei confronti del Comitato Vittime della Pubblica Amministrazione (di seguito “il Comitato”) ai sensi dell’art. 15 del Regolamento UE 679/2016.

Tale istanza si rendeva necessaria in quanto il suddetto Comitato aveva inviato una nota al Commissario Straordinario dell’Azienda Universitaria Ospedaliera di Ferrara, chiedendo di conoscere le specifiche competenze e gli incarichi ricoperti dall’Avv. XX, in qualità di avvocata dirigente della citata Azienda O.U. di Ferrara, dal gennaio del 2017 fino alla data di invio della nota (ovvero 17/09/2020). Veniva allegato un dettagliato elenco degli incarichi di difesa affidati alla stessa, in via esclusiva o congiuntamente ad altri, dall’anno 2010 all’anno 2016.

Pertanto, la reclamante chiedeva al Comitato di ottenere “l’accesso a tutti i dati personali (…) a qualsiasi titolo trattati dal Comitato, in particolare chiedendo una copia degli stessi e (…) le finalità e la base giuridica del trattamento; i destinatari o le categorie di destinatari a cui i dati personali sono stati comunicati; il periodo di conservazione dei dati personali previsto; l’origine dei dati (ovvero il soggetto o la specifica fonte dalla quale essi sono stati acquisiti”.

Tale istanza, inviata all’indirizzo pec del Comitato, risultava regolarmente notificata, ma non riceveva alcun riscontro nei termini di cui all’art. 12, par. 3, del citato Regolamento.

Con nota datata 06/07/2021 (prot. n. 35896), questa Autorità invitava il Comitato a fornire osservazioni in ordine ai fatti oggetto di reclamo, nonché ad aderire all’istanza di esercizio dei diritti, avanzata dalla reclamante.

Il Comitato forniva riscontro con comunicazione del 23/07/2021, sottolineando preliminarmente che l’indirizzo di posta elettronica da sempre utilizzato per la propria corrispondenza fosse XX, abilitato anche alla ricezione di posta elettronica certificata.

L’indirizzo pec, utilizzato dalla reclamante per l’invio dell’istanza e anche dall’Autorità per l’invio della richiesta di informazioni, “Viene utilizzato dal Comitato “ESCLUSIVAMENTE” come “UNO” DEI MEZZI DI SPEDIZIONE “DISCREZIONALE” delle “MISSIVE”. Pertanto, con riguardo all’istanza di esercizio dei diritti formulata dalla reclamante, il Comitato rispondeva che “Il Comitato NON ha risposto e NON intende rispondere al dirigente in parola perché l’avv. XX NON ha inviato l’istanza del 18.11.2020 alla mail pubblica ed ufficiale del Comitato”.

Veniva, inoltre, chiarito:

- che “i carichi di lavoro” indicati nell’elenco allegato alla richiesta inviata all’Azienda O.U. di Ferrara, non costituiscono “dati personali” “in quanto trattasi di numero e tipologie degli incarichi di difesa legale affidati in via esclusiva nell’ultimo quinquennio all’avvocato-dipendente dell’Azienda O.U. di Ferrara”;

- che tali dati “non sono stati mai pubblicizzati, (…) sono stati copiati massivamente dalla nota che l’allora D.G. dell’Azienda O.U. di Ferrara (…) aveva inviato alla Direzione Generale Cura della Persona, Salute e Welfare Regione Emilia Romagna il 16.12.2016”;

- “che l‘Epistola sopracitata è stata trasmessa allo scrivente Comitato da un “destinatario” della comunicazione ed è quindi posseduta legittimamente”.

Alla luce delle dichiarazioni rese, l’Ufficio provvedeva a notificare al Comitato l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento (prot. n. 47450 del 22/09/2021).

Il Comitato, in data 20/10/2021, inviava propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con i quali ribadiva che i dati relativi agli incarichi professionali dell’istante “sono da sempre pubblicati nell’albo pretorio aziendale” e che “la nota [contenente l’elenco degli incarichi professionali] ci è stata trasmessa via email dalla segreteria regionale di un partito politico ed è posseduta in modo lecito e corretto (…)”.

2. L’esito dell’istruttoria.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, è emerso che il Comitato, a fronte dell’istanza di esercizio dei diritti formulata dalla reclamante in data 18/11/2020, non ha fornito alcun riscontro nei termini di legge, nemmeno a seguito dell’invito ad aderire formulato da questa Autorità.

Preliminarmente, occorre richiamare la disposizione dell’art. 15 del Regolamento, che riconosce all’interessato il diritto di ottenere dal titolare del trattamento la conferma che sia in corso un trattamento di dati che lo riguardano e, di conseguenza, ottenere l’accesso a tali dati e alle informazioni elencate alle lettere a) - h) del medesimo articolo.

In base all’art. 12 del Regolamento, il titolare del trattamento è tenuto a fornire all’interessato l’accesso ai propri dati e a tutte le informazioni richieste, ai sensi degli artt. 15 e ss. del Regolamento, “senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”.

Entro lo stesso termine, ove ritenga necessario avvalersi della possibilità di prorogare la risposta di due mesi in ragione “della complessità e del numero delle richieste”, il titolare deve informarne l’interessato indicandone i motivi; “se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.

Sulla base delle disposizioni sopra richiamate, risulta accertato che il Comitato non ha fornito alcun riscontro alle richieste della reclamante, omettendo anche di informarla dei motivi dell’inottemperanza.
Tra l’altro, si evidenzia come lo stesso Comitato ha dichiarato, nel corso dell’istruttoria (v. nota del 23/07/2021), l’intenzione di non voler dare seguito all’istanza di esercizio dei diritti, sulla base di motivazioni che sono da considerare non rilevanti.

In particolare il Comitato ha indicato, quale principale motivo del mancato riscontro, la circostanza che l’indirizzo e-mail utilizzato dalla reclamante per l’invio dell’istanza di accesso (XX), seppure appartenente al Comitato, non fosse corretto perché utilizzato solo per l’invio di comunicazioni, mentre l’indirizzo pubblico attraverso il quale il Comitato riceve le comunicazioni e-mail è un altro (XX).

Al riguardo si evidenzia che, in base al considerando 63 del Regolamento, il diritto di accesso dell’interessato deve essere esercitato facilmente. Conformemente, anche le Linee guida sul diritto di accesso n. 01/2022, adottate dall’EDPB il 28/01/2022, precisano che sugli interessati non grava l’obbligo di adottare un determinato formato per presentare istanze di esercizio dei diritti e che, con particolare riferimento alla questione che qui si tratta, “in linea di principio, non vi sono requisiti che l'interessato sia tenuto a rispettare al momento di scegliere un canale di comunicazione attraverso il quale entrare in contatto con il titolare del trattamento dei dati” (trad. non ufficiale delle Guidelines 01/2022 cit., punto 52 “the GDPR does not impose any requirements on data subjects regarding the form of the request for access to the personal data. Therefore, there are in principle no requirements under the GDPR that the data subjectsmust observe when choosing a communication channel through which they enter into contact with the controller”).

Indipendentemente dalle modalità con le quali il Comitato utilizza l’indirizzo pec, risulta comunque accertato che lo stesso è effettivamente associato al Comitato e che riceve regolarmente le comunicazioni; ciò risulta dimostrato dal fatto che il Comitato, a seguito dell’invito ad aderire formulato dall’Autorità indirizzato alla medesima pec, ha dato prova di avere piena contezza della comunicazione inviata, provvedendo a rispondere e formulando le proprie osservazioni nell’ambito del procedimento. Peraltro non risulta (né il Comitato lo ha dichiarato) che lo stesso abbia predisposto uno specifico canale comunicativo per agevolare l’esercizio dei diritti da parte degli interessati.

Occorre anche considerare che la scelta della pec da parte della reclamante risponde all’esigenza di disporre di un mezzo idoneo a dare certezza dell’avvenuta consegna della richiesta.

Rispetto alle ulteriori osservazioni formulate dal Comitato, in particolare quelle in base alle quali non sarebbe stato effettuato alcun trattamento di dati personali e che, in ogni caso, si tratterebbe di “dati pubblici”, occorre chiarire che, ai sensi dell’art. 4, n. 1, del Regolamento, si definisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile (interessato)”, laddove è identificabile la persona fisica “che può essere identificata direttamente o indirettamente con particolare riferimento a un identificativo come il nome, un numero di identificazione, (…)”.

Nel caso di specie, risulta che il Comitato, venuto in possesso di informazioni relative agli incarichi ricoperti dalla reclamante (nel periodo 2010-2016), le ha utilizzate per richiedere all’Azienda O.U. di Ferrara le specifiche competenze della stessa nonché gli ulteriori incarichi ricoperti dall’anno 2017 in poi. Trattasi in maniera evidente di informazioni professionali riconducibili alla reclamante e, pertanto, da considerarsi a tutti gli effetti quali dati personali.

3. Conclusioni: illiceità dei trattamenti effettuati. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Alla luce delle valutazioni che precedono, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗  non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentirne l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

Preso atto di tutti gli elementi acquisiti nel corso dell’istruttoria, è emerso che la condotta posta in essere dal Comitato, consistente nel mancato riscontro all’istanza di esercizio dei diritti, possa essere considerata quale “violazione minore” nei termini di cui in motivazione e che, considerato il numero di interessati coinvolti (uno) e l’assenza di precedenti violazioni pertinenti, occorra ammonire il titolare del trattamento, ai sensi dell’art. 143 del Codice e 58, par. 2, lett. b), del Regolamento.

Si rappresenta, inoltre, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato dal Comitato vittime della pubblica amministrazione, in persona del legale rappresentante pro-tempore, con sede in Ferrara,  nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3, e 15 del Regolamento;

ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce il Comitato vittime della Pubblica Amministrazione, quale titolare del trattamento in questione, per aver omesso di fornire riscontro all’istanza di esercizio dei diritti avanzata dalla reclamante;

INGIUNGE

ai sensi dell’art. 58, par. 2, lett. c), del Regolamento di soddisfare le richieste dell’interessato, provvedendo a comunicare all’interessato le informazioni già oggetto dell’istanza datata 18/11/2020, entro 30 giorni dalla data di notifica del presente provvedimento, fornendo contestualmente comunicazione all’Autorità;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi