[doc. web n. 9917702]

Provvedimento del 1° giugno 2023

Registro dei provvedimenti
n. 225 del 1° giugno 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento nei confronti dell’ATER Chieti (di seguito, l’Azienda), il sig. XX ha rappresentato a questa Autorità di aver esercitato, in data XX, il diritto di accesso di cui all’art. 15 del Regolamento e di non avere ricevuto idoneo riscontro.

In particolare, il reclamante ha rappresentato:

- “come assegnatario di alloggio di edilizia popolare, a seguito di comunicazione ATER CHIETI del XX ho effettuato alla stessa richiesta di acquisto dell’alloggio in data XX […] In data XX ricevo, come copia per conoscenza, una comunicazione interna ATER […] nella quale viene praticamente affermato di non poter procedere alla vendita dell’immobile in quanto ceduto in data 05/06/2003 al Comune di Guardiagrele”;

- “venuto anche a conoscenza che in data 14 ottobre 2004 il Comune di Guardiagrele ha provveduto a mettere in vendita gli alloggi presenti nel mio stesso condominio tranne che al sottoscritto, in data XX ho effettuato formale richiesta di motivazione per tale esclusione [… al] Comune di Guardiagrele […] In data XX la risposta che mi viene fornita dal […] Comune di Guardiagrele è che proprietario dell’alloggio non è il Comune di Guardiagrele ma ATER CHIETI”.

Il reclamante, pertanto, si è rivolto all’Azienda, esercitando il diritto di accesso ai sensi dell’art. 15 del Regolamento al fine di comprendere “a che titolo [… l’Azienda tratta …] i miei dati […] In qualità di proprietari dell'alloggio e quindi quali titolari del trattamento [o…] quali incaricati/responsabili di trattamento da parte del proprietario dell'alloggio” senza, tuttavia, ottenere riscontro.

2. L’attività istruttoria.

L’Autorità ha formulato, nei confronti dell’Azienda, un invito ad aderire (nota prot. del XX dell’XX), ai sensi dell’art. 15 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (doc. web n. 9107633), reiterando l’invito (nota prot. XX del XX), senza ottenere riscontro.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, ha notificato all’Azienda, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per non aver dato riscontro all’esercizio dei diritti avanzato dal reclamante, nemmeno dopo l’invito inoltrato dall’Autorità, in violazione del principio di “liceità, correttezza e trasparenza” di cui all’art. 5, par. 1, lett. a) e degli artt. 12 e 15 del Regolamento. 

Con la medesima nota, l’Azienda è stata invitata a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Azienda ha chiesto “la possibilità di audizione, al fine di fornire indicazioni chiare relativamente all'istanza rappresentata dal [… reclamante] per un alloggio sito nel Comune di Guardiagrele […] Si precisa che la scrivente Direzione ha avviato una ricognizione amministrativa/tecnica, per il tramite dell’Area Tecnica aziendale […], al fine di rendere l'istruttoria e l'audizione le più esaustive e complete”.
In data XX si è tenuta l’audizione richiesta ai sensi dell’art. 166, comma 6, del Codice, nel corso della quale l’Azienda ha dichiarato, tra l’altro:

- “per quanto riguarda la base giuridica del trattamento dei dati dell’interessato, l’Ater Chieti - Azienda territoriale di edilizia residenziale (ex Iacp), istituita ai sensi della L.R. n. 44/1999, ente pubblico economico - si è basata sul presupposto dell’esecuzione del contratto, e non sul presupposto del consenso, come indicato dall’interessato”;

- “i dati dell’interessato sono stati acquisiti nell’ambito di una procedura pubblica per l’assegnazione degli immobili in locazione; l’assegnazione dell’alloggio è stata effettuata con atto amministrativo del Comune di Guardiagrele (CH), a seguito di procedura pubblica, nel rispetto della legge n. 241/1990; tali dati sono stati, quindi, affidati dal predetto Comune all’Ater per la fase attuativa”;

- “i dati degli interessati sono aggiornati annualmente, così come previsto dalla L.R. n. 96/1996, ai fini dell’adeguamento del canone e della verifica dei requisiti per il mantenimento del diritto all’alloggio sociale”;

- “il trattamento dei dati è limitato alla regolare gestione del contratto di locazione e non sono effettuati trattamenti per finalità ulteriori”;

- “con riguardo all’informativa sul trattamento dei dati personali, questa è resa disponibile, nei termini del Regolamento, presso tutti gli uffici amministrativi e le sedi dell’Ater, a disposizione degli utenti che forniscono i dati nell’ambito delle procedure”;

-“con riguardo alla richiesta dell’interessato di conoscere a quale titolo l’Ater tratti i propri dati personali, fermo restando che questa informazione è presente all’interno dell’informativa, l’Amministrazione si è riservata di confermare quanto già indicato nella predetta informativa, attendendo chiarimenti dal Comune di Guardiagrele in ordine alla proprietà dell’immobile occupato dal reclamante; ciò al fine di evitare di fornire all’interessato una comunicazione fuorviante sul ruolo dell’Ater, vista la pretestuosità dell’istanza dell’interessato. Avendo ricevuto dall’Amministrazione comunale di Guardiagrele, da qualche giorno, i chiarimenti richiesti, l’Ater provvederà a riscontrare l’istanza del [reclamante], ai sensi del Regolamento”;

- “tecnicamente questa vicenda appare molto complessa, l’Ater ha ricostruito la posizione dell’immobile e, di conseguenza, fatto chiarezza sul titolo e sul conseguente ruolo dell’Ater anche in merito al trattamento dei dati”;

- “il riscontro che l’Ater darà all’interessato, non potrà che confermare quanto già riportato nel testo dell’informativa resa disponibile agli utenti nei uffici relazioni con il pubblico e negli uffici preposti al ricevimento dell’utenza per le pratiche amministrative, oltre che, più in generale, con le ordinarie modalità di pubblicità all’utenza e al pubblico; peraltro, nella sezione “modulistica” del sito dell’Ater, www.aterchieti.it, sono disponibili tutti i modelli di richieste corredate dalla relativa informativa sul trattamento dei dati”.

Con successiva nota del XX (prot. n. XX), l’Azienda, ad integrazione di quanto esposto nell’audizione predetta, anche al fine di comprovare quanto sostenuto nell’audizione, ha rappresentato, in particolare:

- “per quanto riguarda la base giuridica del trattamento dei dati dell’interessato, basata sull’esecuzione del contratto di locazione, si allega […] il contratto di locazione […del reclamante]”;

- “con riferimento all’informativa sul trattamento dei dati personali, questa è disponibile presso tutti gli uffici amministrativi e le sedi Ater, a disposizione degli utenti […] Tale informativa è altresì presente sul sito www.aterchieti.it nella home sezione Privacy Policy. Inoltre nella sezione “modulistica”, sono disponibili tutti i modelli di richiesta, corredati dall’informativa sul trattamento dei dati;

- “ha provveduto a contattare il Comune di Guardiagrele con un incontro formale […] al fine di definire la proprietà dell’alloggio [… del reclamante] e dare allo stesso indicazioni chiare e precise sulla possibilità di acquisto”.

Con riferimento a quest’ultimo punto, infatti, è emerso che in data XX (nota del XX prot. n. XX del Comune di Guardiagrele), si è svolto un incontro tra il reclamante e il Comune citato nel quale sono stati forniti chiarimenti allo stesso e soprattutto, il Comune, quale proprietario dell’immobile dato in alloggio al reclamante, ha ribadito l’impegno di “sanare tutte le emerse problematiche catastali, cessioni e gestioni di proprietà, attribuzioni di titolarità e responsabilità per il trattamento dati affinché il [reclamante] possa risolvere definitivamente la problematica in oggetto” anche ricorrendo al supporto dell’Azienda.

3. Esito dell’attività istruttoria.

Il trattamento dei dati personali deve avvenire nel rispetto delle disposizioni del Regolamento e del Codice.

Il trattamento dei dati personali effettuato da soggetti pubblici o gestori dei pubblici servizi è, di regola, lecito solo se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), del Regolamento). Pur in presenza di una condizione di liceità, il trattamento, in ogni caso, deve avvenire nel rispetto dei principi in materia di protezione dei dati personali, tra i quali, il principio di “liceità, correttezza e trasparenza” in base al quale i dati devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” (art. 5, par. 1, lett. a) del Regolamento).

Ai sensi dell’art. 15 del Regolamento l’interessato ha il diritto di ottenere dal titolare del trattamento o (come nel caso in esame, il presunto titolare del trattamento) “la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni: a) le finalità del trattamento; b) le categorie di dati personali in questione; c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati […]”.

Giova chiarire che, nella vicenda in esame, l’interessato, al fine di poter beneficiare del diritto di prelazione all’acquisto dell’alloggio a lui assegnato, aveva necessità di individuare il soggetto proprietario dell’immobile -nonché titolare del trattamento dei dati personali inerenti alla gestione dello stesso.

Con riguardo al merito delle motivazioni addotte dall’Azienda in merito al mancato riscontro all’istanza di accesso ai dati presentata dal reclamante, ovvero, in sintesi, la necessità di attendere chiarimenti dal Comune di Guardiagrele in ordine alla proprietà dell’immobile al fine di evitare di fornire all’interessato una comunicazione fuorviante, occorre evidenziare quanto segue.

L’art. 12, par. 3, del Regolamento stabilisce che il titolare del trattamento o il presunto titolare del trattamento (che nel caso di specie, non era facilmente individuabile anche in ragione della dubbia proprietà dell’immobile oggetto della vicenda) debba dare riscontro – anche negativo - alla richiesta dell’interessato senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della stessa. Se non ottempera alla richiesta dell'interessato deve, in ogni caso, informare l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (cons. 59 e art. 12, par. 4, del Regolamento).

L’Azienda, nel caso di specie, avrebbe potuto dare riscontro all’interessato circa i motivi e i dubbi della propria titolarità. Il silenzio dell’Azienda ha, comunque, in parte, rallentato la risoluzione della vicenda in esame.

Nel corso dell’istruttoria, pertanto, è stata accertato il mancato riscontro all’esercizio del diritto di accesso di cui all’art. 15 del Regolamento, anche a seguito di due inviti ad aderire inoltrati dall’Autorità, in violazione del principio di “liceità, correttezza e trasparenza” di cui all’art. 5 nonché artt. 12 e 15 del Regolamento medesimo.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dall’Azienda nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda, per non aver fornito all’interessato riscontro a un’istanza di accesso ai dati personali, in violazione degli artt. 5, 12, parr. 3 e 4, e 15 del Regolamento.

Ciò premesso, tenuto conto che:

la violazione ha riguardato un solo interessato;

pur non avendo fornito riscontro all’istanza dell’interessato, era ed è comunque disponibile un’informativa sul trattamento dei dati personali presso tutti gli uffici amministrativi e le sedi dell’Azienda, nonché sul sito istituzionale;

il carattere colposo della violazione;

l’Azienda si è attivata al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi cooperando, in tal senso, con il Comune di Guardiagrele;

non risultano precedenti violazioni pertinenti o precedenti provvedimenti di cui all’art. 58 del Regolamento;

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire l’Azienda per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’ATER Chieti, in persona del legale rappresentante pro-tempore, con sede legale in Via Olivieri 59, 66100, Chieti – CF 00091910695 - per violazione degli artt. 5, 12, parr. 3 e 4, e 15 del Regolamento, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’ATER Chieti, per aver violato gli artt. 5, 12, parr. 3 e 4, e 15 del Regolamento, come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 1° giugno 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei