[doc. web n. 10139871]

Provvedimento del 27 marzo 2025

Registro dei provvedimenti
n. 171 del 27 marzo 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal sig.  XX in data 28/09/2021, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Pico Moto S.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Il reclamo nei confronti della Società e l’avvio dell’attività istruttoria.

Con il reclamo presentato in data 28/09/2021, il sig. XX ha rappresentato a questa Autorità di aver presentato, in data 01/06/2021, un’istanza di esercizio dei diritti nei confronti della società Pico Moto s.r.l. (di seguito “la Società”), con cui chiedeva la cancellazione dei dati relativi alla targa del proprio veicolo da diversi siti di vendita online e sulla pagina facebook della stessa Società. Tale istanza, regolarmente notificata all’indirizzo pec della Società, non riceveva riscontro nei termini previsti dalla normativa.

Pertanto, con la nota datata 01/10/2021, l’Autorità avviava l’istruttoria preliminare, invitando la Società a fornire osservazioni in ordine a quanto lamentato e ad aderire alle richieste del reclamante.

Considerato che tale richiesta, regolarmente notificata all’indirizzo pec della Società, non riceveva riscontro, la stessa veniva reiterata in data 29/11/2021, ai sensi dell’art. 157 del Codice.

A fronte del mancato riscontro anche a tale ultima richiesta di informazioni, l’Ufficio delegava il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza a procedere alla notifica di una nuova richiesta di informazioni, anch’essa formulata ai sensi dell’art. 157 del Codice, e dell’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, in relazione alla violazione dell’art. 157 del Codice stesso (nota del 31/01/2022).

Entrambi gli atti venivano notificati alla Società, in data 03/05/2022, come risulta dal verbale di operazioni compiute redatto dal Nucleo in pari data.  

In occasione dell’accertamento ispettivo, la Società dichiarava che:

- “il rapporto [con il reclamante] è iniziato in data 23 settembre 2020, a seguito di una proposta di acquisto sottoscritta in pari data. (…) Il Sig. XX, in data 1giugno 2021, ha inoltrato alla casella di posta certificata della società un’istanza di esercizio dei diritti in relazione alla cancellazione di tutto il materiale foto/video in rete riconducibile al mezzo QOODER QV4MY (…). Il veicolo acquistato oggetto del reclamo è un demo, cioè aziendale (…)”;

- la vendita del veicolo è stata pubblicizzata su diversi canali on line, “nello specifico [il reclamante] è venuto a conoscenza tramite You Tube. (…) Da protocollo, subito dopo la vendita, ho provveduto ad eliminare tempestivamente la pubblicità da tutti i canali pubblicitari, social e dal nostro sito internet di proprietà www.motook.it”

- “In data 3 giugno 2021, la segretaria dell’azienda mi ha notiziato tempestivamente della volontà del sig. XX di cancellare tutto il materiale foto/video in rete. Mi sono ulteriormente attivato per eliminare qualsiasi dato residuo riconducibile al reclamante”.

Il Nucleo privacy verificava che non erano presenti ulteriori foto o immagini relativi al veicolo acquistato dal reclamante sul sito internet della Società e su altri profili social alla stessa riconducibili.
Con riferimento al mancato riscontro all’istanza del reclamante e alla richiesta di informazioni dell’Autorità, la Società rappresentava che tale mancanza era stata causata da un mero disguido interno, come dimostrato dallo scambio di e-mail avuto con la sua collaboratrice che si era assentata dal servizio proprio in quel periodo.

Per quanto sopra, l’Ufficio provvedeva a notificare alla Società l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento (nota del 10/06/2022).

Con nota del 05/07/2022, la Società inviava i propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981 con cui rappresentava che:

- “la condotta oggetto di reclamo non si è mai concretizzata posto che si è provveduto all’immediata cancellazione di quanto richiesto dal reclamante, azzerando potenziali ripercussioni negative sui diritti e libertà fondamentali delle persone fisiche che si sarebbero altrimenti verificate”;

- “la condotta rappresenta un caso isolato, poiché non risultano ulteriori procedimenti avviati a carico della società”;

- “nessun pregiudizio è mai derivato dal fatto contestato giacché alcuna diffusione di dati personali è mai avvenuta”;

- “il titolare ha natura di microimpresa e la sua attività risente dell’attuale situazione economica del settore, fortemente condizionata dalla crisi attualmente esistente nel nostro Paese. Un’eventuale sanzione pecuniaria avrebbe di sicuro un forte impatto economico sulle esigenze organizzative, funzionali ed occupazionali della Società”;

- “con riguardo alla violazione dell’art. 157 del Codice, (…), se è pur vero che la Società non ha fornito riscontro alle richieste di informazioni del Garante, rendendo necessaria la notifica tramite il Nucleo speciale privacy della Guardia di Finanza, la Società, per il tramite dello scrivente, ha giustificato il proprio silenzio determinato da una serie sfortunata di circostanze e malintesi in cui era incorso (…). Appare allora evidente che il titolare ha agito in assoluta buona fede”.

In data 28/02/2025, si è svota l’audizione della parte, nel corso della quale la Società ha precisato che “le foto in questione si riferivano a una moto aziendale che erano state pubblicate precedentemente alla vendita (circa un anno prima). Poiché nel frattempo erano state caricate altre foto relative ad attività dell’azienda, è stato difficile individuare quelle foto oggetto della richiesta di cancellazione e pertanto la cancellazione è avvenuta con ritardo. In ogni caso la richiesta è stata accolta, tanto che quando la Guardia di finanza è arrivata in azienda per notificare la richiesta dell’Autorità (maggio 2022), ha potuto constatare l’assenza delle foto sui social. L’unica mia mancanza è stata quella di non comunicare l’avvenuta cancellazione al reclamante”.

2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, risulta accertato quanto segue.

2.1. Violazione dell’art. 157 del Codice.

In primo luogo, occorre rilevare che la Società ha omesso di fornire riscontro a due richieste di informazioni formulate dall’Autorità: la prima, recante l’invito ad aderire alla richiesta dell’interessato di ottenere la cancellazione dei dati personali, come previsto dall’art. 17 del Regolamento (nota inviata via pec il 01/10/2021); la seconda, contenente la richiesta di informazioni, formulata ai sensi dell’art. 157 del Codice, con la quale si rinnovava l’invito a far pervenire all’Ufficio, entro 20 giorni dal ricevimento della stessa, un riscontro alle richieste già formulate con la nota inviata il 01/10/2021 (trasmessa via pec il 29/11/2021).

Considerato, tra l’altro, che entrambe le richieste risultano regolarmente notificate all’indirizzo pec della Società, come si evince dalle ricevute di avvenuta consegna e accettazione agli atti del fascicolo, si rileva che nella richiesta formulata ai sensi dell’art. 157 del Codice era espressamente riportato che “in caso di inottemperanza alla presente richiesta, sarà applicata la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 5, del Codice”.

Con riferimento alle argomentazioni addotte dalla Società, pur tenendo conto delle difficoltà di organizzazione interna legate al particolare momento in cui i fatti si sono verificati (ancora caratterizzati dall’emergenza epidemiologica da Covid-19), si ritiene che, in ogni caso,  non sia possibile escludere la responsabilità della Società rispetto alla violazione in argomento.

Infatti, la reiterazione delle richieste inviate dall’Autorità e le chiare indicazioni in esse contenute non lasciavano dubbi in ordine alla necessità di fornire all’Autorità un riscontro circa i fatti che potevano essere conosciuti solo dalla Società e, comunque, la stessa non ha raccolto l’invito, formalmente contenuto nella prima comunicazione, a contattare l’Ufficio per ogni eventuale chiarimento.

Si evidenzia inoltre che il mancato riscontro alla predetta richiesta di informazioni ha reso necessario chiedere il coinvolgimento del Nucleo privacy della Guardia di finanza, incaricato di notificare un’ulteriore richiesta di informazione e di raccogliere gli elementi istruttori, con conseguente notevole aggravio del procedimento in termini di costi e di tempi.

2.2. Violazione dell’art. 12, par. 3, del Regolamento.

Sulla base delle risultanze istruttorie svolte dall’Ufficio, è risultato che i dati personali riferiti all’interessato (consistenti nelle fotografie che ritraevano il veicolo acquistato dallo stesso con l’esposizione visibile della targa), erano ancora presenti sul profilo facebook della Società alla data del 29/09/2021, nonostante la richiesta di cancellazione fosse stata inoltrata a giugno 2021.

È lecito, dunque, dedurre che, solo a seguito dell’avvio dell’istruttoria da parte dell’Autorità, la Società abbia provveduto alla cancellazione dei dati all’interessato, senza tuttavia fornirgli riscontro, rendendo così necessario la presentazione del reclamo all’Autorità. Infatti, alla data dell’accertamento ispettivo, i dati relativi all’interessato non erano più presenti sui profili social della Società.

Rispetto alla condotta sopra descritto, si osserva che sussiste in capo al titolare del trattamento l’obbligo di fornire riscontro alle istanze di esercizio dei diritti (tra cui il diritto alla cancellazione ai sensi dell’art. 17 del Regolamento) presentate dall’interessato, fornendo le informazioni richieste entro il termine indicato dall’art. 12, par. 3, del Regolamento, o, qualora non possa ottemperare alla richiesta, informando l’interessato senza ritardo e comunque entro un mese dall’istanza in merito ai “motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, del Regolamento).

Posto quindi cha la cancellazione dei dati è avvenuta oltre il termine previsto dalla normativa, si rileva che, nel caso di specie, la Società ha omesso di dare riscontro all’interessato circa l’avvenuto adempimento e, ancor prima, delle  difficoltà di individuare le foto oggetto di cancellazione, per i motivi esposti nelle memorie difensive.
In ultimo, deve osservarsi che non può essere accolta l’argomentazione addotta dalla parte in base alla quale deve applicarsi al caso di specie l’esimente della buona fede (art. 3 della legge n. 689/1981).

Come giustamente ricordato dalla Società nelle memorie difensive, l’esimente della buona fede rileva come causa di esclusione della responsabilità amministrativa “quando sussistano elementi positivi idonei a ingenerare nell'autore della violazione il convincimento della liceità della sua condotta, ovvero per fatti accidentali e risulti che il trasgressore abbia fatto tutto quanto possibile per conformarsi al precetto di legge, onde nessun rimprovero possa essergli mosso” (Cassazione, sez. VI civile, n. 12629 del 13 maggio 2019).

Nel caso in esame, è emerso, in tutta evidenza, che i mancati riscontri, sia alle richieste di informazioni dell’Autorità che all’istanza di esercizio dei diritti dell’interessato, sono stati causati da negligenza e che l’errore poteva essere evitato con ordinaria diligenza.

3.    Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

I trattamenti posti in essere dalla Società, con riferimento al mancato riscontro alla richiesta di informazioni dell’Autorità e all’istanza di esercizio dei diritti dell’interessato, risultano illeciti, nei termini su esposti, in relazione agli artt. 157 del Codice, 12, par. 3, del Regolamento in relazione all’art. 17.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si prende atto della circostanza che la Società, nel corso del procedimento, ha provveduto ad aderire all’istanza di esercizio dei diritti dell’interessato.

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Pico Moto s.r.l., in persona del legale rappresentante pro tempore, con sede legale in Monteforte Irpino (AV), via Alvanella n. 71, C.F. 01895280434, per la violazione degli artt. 157 del Codice, 12, par. 3, e 17 del Regolamento;

[OMISSIS]

DISPONE

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web dell’Autorità;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 27 marzo 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei