[doc. web n. 9592133]

Ordinanza ingiunzione nei confronti di INPS - 15 aprile 2021

Registro dei provvedimenti
n. 139 del 15 aprile 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e reperibile sul sito www.garanteprivacy.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’Ufficio del Garante per la protezione dei dati personali (doc. web n. 1098801);

Relatore l’avv. Guido Scorza;

PREMESSO

1. Il reclamo.

In occasione del reclamo regolarizzato in data XX (prot. n. XX del XX) – con riferimento alla presunta comunicazione a terzi dei dati personali contenuti nel proprio estratto conto previdenziale emesso in data XX – il sig. XX ha lamentato il mancato riscontro, da parte dell’Istituto nazionale previdenza sociale (di seguito “INPS”), a due missive inviate via PEC alla Direzione provinciale di Bolzano (all’indirizzo direzione.provinciale.bolzano@postacert.inps.gov.it), in data XX e XX, con le quali venivano richiesti chiarimenti sulla vicenda, in particolare “se detti documenti non rientrano tra le informazioni riservate e/o soggette a tutela della mia privacy ed, in ogni caso, come sia stato possibile che uno o entrambi i soggetti nominati, abbiano avuto accesso a questi dati e documenti senza il mio consenso e senza che io ne sapessi niente”.

Con specifico riferimento al summenzionato profilo concernente il mancato riscontro all’esercizio dei diritti, l’INPS, con nota del XX (ns. prot. n. XX del XX), ha trasmesso una nota della Direzione provinciale di Bolzano del XX, in cui il direttore, scusandosi “per il fatto che la sede di Bolzano, nel 2018, non ha fornito alcuna risposta al Sig. XX”, riferiva che “il mancato riscontro era dovuto ad un disguido della posta elettronica certificata in arrivo”.

L’istruttoria ha, in ogni caso, riguardato anche il profilo della presunta comunicazione a terzi dei dati riferiti al reclamante e contenuti nell’estratto conto previdenziale, in relazione al quale l’Istituto ha affermato – con dichiarazioni della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice – a seguito di apposite richieste di informazioni inviate ai sensi dell’art. 157 del Codice (rispettivamente, prot. n. XX del XX, prot. n. XX del XX), che:

- tale estratto contributivo sarebbe stato prodotto da un dipendente in servizio presso la Direzione Provinciale di Bolzano e autorizzato, nell’agosto del 2011, ad accedere agli estratti contributivi dei richiedenti; egli avrebbe “svolto, sempre nel periodo di riferimento, servizio allo sportello, dove tra l'altro, ha rilasciato, o su richiesta del diretto interessato, munito da documento d'identificazione o sulla base di una delega, estratti contributivi” (citata nota del XX);

- “La prassi in uso presso l’Istituto prevede che copia della documentazione riferita al cittadino richiesta allo sportello possa essere fornita solo su richiesta diretta dell’interessato oppure su delega presentata dal soggetto delegato, accompagnata da copia del documento d’identità del soggetto delegante e delegato. […] In caso di richiesta di copia di documentazione allo sportello da parte dell’interessato, il funzionario non trattiene copia del documento d’identità, mentre, in caso di presentazione di delega da parte di soggetto terzo, la stessa viene trattenuta e conservata agli atti”. Nel caso di specie, “Il dipendente, che era assegnato al servizio sportello e che risulta aver stampato l’estratto contributivo, è stato interpellato. Ha confermato che era prassi procedere come sopra indicato. Ha dichiarato, inoltre, che, dopo 9 anni, non gli è possibile contribuire a ricostruire fatti o circostanze, oggetto dell’indagine. Pertanto, è fuori dubbio che il documento è stato fornito direttamente al sig. XX od ad una persona da lui delegata” (nota del XX, ns. prot. n. XX).

2. L’attività istruttoria.

L’Ufficio, con atto n. XX del XX (notificato in pari data mediante PEC), che qui deve intendersi integralmente riprodotto, ha avviato, ai sensi dell’art. 166, comma 5, del Codice, con riferimento alle specifiche situazioni di illiceità in esso richiamate, un procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti dell’INPS, in quanto l’Istituto non ha fornito il riscontro all’interessato con riferimento all’esercizio, da parte di quest’ultimo, del diritto di accesso dell’interessato alle informazioni concernenti il trattamento effettuato sui propri dati personali, in particolare con riferimento alla creazione di copia e presunta comunicazione degli stessi a soggetti terzi da parte della Direzione provinciale di Bolzano (che sarebbe avvenuta in data XX), comportando, quindi, la violazione degli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento.

Con nota del XX (ns. prot. n. XX del XX), l’INPS ha fatto pervenire le proprie memorie difensive, ai sensi dell’art. 166, comma 6, del Codice, ove ha rappresentato, in particolare, che:

- essendo il rilascio dell’estratto contributivo, avvenuto in data XX, “un fatto certo, inequivocabile ed incontrastato, attesa la data in esso recata […] ne discende che l’Istituto non può esser chiamato a rispondere per alcun illecito amministrativo asseritamente avvenuto oltre 5 anni precedenti la data di contestazione”, in base a quanto stabilito dall’art. 28 della l. 24 novembre 1981, n. 689, ritenendo, dunque, che non vi sia stata violazione dell’art. 5, par. 1, lett. a), del Regolamento (pp. 2 e 3);

- con riferimento alla conservazione dei documenti idonei a comprovare la legittimità dell’accesso all’estratto contributivo del reclamante, “l’Istituto viene onerato di verificare e offrire prova a Codesta Autorità di un fatto (presenza delegato-eventuale delega o presenza interessato-registro accessi) tramite un atto o documento per il quale la normativa presso l’Istituto, relativa al cd Massimario di scarto […] prevede, per le attività presso le strutture territoriali, […] che gli atti afferenti ai rapporti con i cittadini nell’ambito URP (Ufficio relazioni al pubblico) dunque anche allo sportello dell’Istituto, debbano essere conservati per n. 5 anni. È di tutta evidenza l’impossibilità per l’Istituto di poter offrire prova, dopo 9 anni, in ordine alla circostanza che il reclamante […] abbia richiesto personalmente, oppure a mezzo di delega, l’estratto contributivo previdenziale in questione […]. A ciò si aggiunga che le stesse istanze […] inviate all’INPS in data XX e XX, con le quali venivano richiesti chiarimenti sulla vicenda -e non riscontrate dalla Sede di Bolzano solo per un mero disguido- non avrebbero potuto sortire effetto quanto all’oggetto della richiesta […] in quanto riferibili a fatto di 7 anni precedente per il quale non era più prevista, in base alla normativa vigente, la conservazione di documenti e/o atti e/o registri e quindi per il quale l’ente non poteva essere onerato alla verifica” (pp. 3 e 4);

- infine, con riferimento alla violazione degli artt. 12 e 15 del Regolamento, “fermo il mero disguido in ordine alla ricezione della mail di pec, trattandosi di attività di oltre 7 anni addietro, l’ente non avrebbe potuto effettuare alcuna compiuta verifica, da riferire all’interessato, in quanto l’eventuale atto di delega (cartaceo) non era più soggetto, a quel tempo, a conservazione in ragione delle disposizioni sul Massimario di scarto […], essendo trascorsi più di 5 anni” (p. 4).

3. Esito dell’attività istruttoria.

L’art. 15, par. 1, del Regolamento stabilisce che “L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso” di ottenere l’accesso alle informazioni concernenti tale trattamento, tra cui “le finalità del trattamento” (lett. a)), “i destinatari o le categorie di destinatari a cui i dati personali sono stati comunicati” (lett. c)) e “il periodo di conservazione dei dati personali previsto” (lett. d)).

Inoltre, ai sensi dell’art. 12, parr. 3 e 4, del Regolamento: “Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”; “Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre un reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.

Il titolare del trattamento è poi, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza”, in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a), del Regolamento).

Gli elementi addotti negli scritti difensivi dal titolare del trattamento, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati all’INPS dall’Ufficio con l’atto di avvio del procedimento, in quanto risulta accertato che alle istanze di accesso ai dati personali avanzate dal reclamante in data XX e XX, come riconosciuto anche dall’Istituto, non è stato fornito il riscontro richiesto, nei termini previsti dai citati artt. 12 e 15 del Regolamento. Ciò tenendo conto che il riscontro avrebbe potuto, in ogni caso, essere fornito, anche dichiarando di non essere in possesso degli elementi richiesti e rappresentando le relative ragioni da ricondurre, ad avviso dell’Istituto, alla specifica disciplina in materia di tempi di conservazione di atti e documenti.

Per quanto concerne le ragioni del mancato riscontro, imputabili a un “mero disguido in ordine alla ricezione della mail di pec”, si rappresenta che quanto argomentato, non consente di qualificare gli elementi costitutivi della disciplina sull’errore scusabile di cui all’art. 3 della l. 689/1981, atteso che l'errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall'interessato con l’ordinaria diligenza, elemento che non è riscontrabile nel caso di specie (cfr., ex multis, Cass. civ., sez. lav., 12 luglio 2010, n. 16320; Cass. civ., sez II, 13 marzo 2006, n. 5426; Cass. civ., sez. I, 21 febbraio 1995, n. 1873).

Il mancato riscontro alle istanze di accesso ai dati personali comporta, altresì, la violazione dell’art. 5, par. 1, lett. a), del Regolamento in quanto, oltre a rappresentare una causa di non conformità rispetto al dettato normativo (principio di liceità), si traduce in una condotta non corretta da parte del titolare del trattamento nei confronti dell’interessato (principio di correttezza) che impedisce a quest’ultimo di conoscere gli aspetti essenziali del trattamento dei propri dati personali (principio di trasparenza).
Pertanto, ai fini della contestazione dei rilievi specificamente notificati dall’Ufficio con l’atto di avvio del procedimento del XX, non rileva quanto addotto negli scritti difensivi circa la mancata violazione del principio di liceità del trattamento con riferimento allo spirare del termine prescrizionale di cinque anni dal giorno in cui è stata commessa la violazione, previsto dall’art. 28 della l. 689/1981 per la comminazione dell’ordinanza ingiunzione di pagamento.

Sotto altro aspetto, invece, tali argomentazioni contribuiscono all’archiviazione delle doglianze relative a presunte violazioni connesse all’accesso ai dati personali effettuato dal dipendente della Direzione provinciale di Bolzano in data XX. A questo specifico fine occorre, infatti, tenere conto del notevole lasso temporale trascorso – anche solo volendo considerare i sette anni trascorsi fino al momento in cui il reclamante ha presentato istanza di accesso ai dati personali (XX e XX) – anche alla luce dei tempi di conservazione di atti e documenti che avrebbero impedito all’Istituto, secondo quanto dichiarato, di recuperare la documentazione idonea a comprovare la legittimità dell’accesso in questione.

Inoltre, a fronte dell’affermazione dell’interessato contenuta nella nota inviata il XX (prot. n. XX) – in riscontro alla richiesta di chiarimenti inviata dall’Autorità in data XX (prot. n. XX) – secondo cui “non mi risulta di aver richiesto nessun accesso agli atti in data XX e nemmeno in un periodo affine, né di aver conferito delega o autorizzazione”, si prende atto di quanto dichiarato dal titolare del trattamento, ai sensi dell’art. 168 del Codice, secondo cui “La prassi in uso presso l’Istituto prevede che copia della documentazione riferita al cittadino richiesta allo sportello possa essere fornita solo su richiesta diretta dell’interessato oppure su delega presentata dal soggetto delegato, accompagnata da copia del documento d’identità del soggetto delegante e delegato. […] In caso di richiesta di copia di documentazione allo sportello da parte dell’interessato, il funzionario non trattiene copia del documento d’identità, mentre, in caso di presentazione di delega da parte di soggetto terzo, la stessa viene trattenuta e conservata agli atti […]. […] gli atti afferenti ai rapporti con i cittadini nell’ambito URP e dunque anche della sportelleria dell’Istituto, debbano essere conservati per n. 5 anni; Il dipendente, che era assegnato al servizio sportello e che risulta aver stampato l’estratto contributivo, è stato interpellato. Ha confermato che era prassi procedere come sopra indicato. Ha dichiarato, inoltre, che, dopo 9 anni, non gli è possibile contribuire a ricostruire fatti o circostanze, oggetto dell’indagine. Pertanto, è fuori dubbio che il documento è stato fornito direttamente al sig. XX od ad una persona da lui delegata” (nota del XX).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese nel corso dell’istruttoria – della cui veridicità si risponde ai sensi dell’art. 168 del Codice – si rappresenta che gli elementi forniti nelle memorie difensive non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione dell’intero procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva che l’INPS ha violato gli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento per non aver fornito nei termini di legge il dovuto riscontro all’interessato, con riferimento all’esercizio del diritto di accesso, effettuato, da parte di quest’ultimo, per due volte (in data XX e XX).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento medesimo.

Si ritiene, invece, che, nei termini precedentemente descritti, non ricorrano i presupposti per l’adozione di specifiche determinazioni con riferimento ai profili attinenti all’accesso all’estratto contributivo dell’interessato, effettuato in data XX.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del regolamento del Garante n. 1/2019).

Al riguardo, nel caso di specie, la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi, è stato considerato che il mancato riscontro ha riguardato due istanze di accesso avanzate dall’interessato, e che l’Istituto è già stato destinatario di altri provvedimenti correttivi da parte del Garante, seppure per violazioni eterogenee.

Di contro, si è tenuto favorevolmente conto del fatto che il reclamo è stato avanzato all’Autorità a molto tempo di distanza dal periodo in cui l’interessato ha esercitato il proprio diritto nei confronti dell’Istituto, e che tale istanza di accesso riguardava comunque un episodio occorso in un momento significativamente antecedente in termini temporali, il che ne ha reso difficoltoso l’accertamento. Inoltre, il mancato riscontro risulta addebitato ad un mero disguido avvenuto presso una sede territoriale dell’INPS.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 12.000,00 (dodicimila) per la violazione degli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che la violazione rilevata nel presente provvedimento attiene al mancato esercizio dei diritti dell’interessato, che rappresenta una delle principali garanzie che il Regolamento riconosce a tutela dei suoi diritti e delle sue libertà fondamentali, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata la violazione, da parte dell’INPS, degli artt. 5, par. 1, lett. a), 12 e 15 del Regolamento, nei termini di cui in motivazione,

ORDINA

all’Istituto nazionale previdenza sociale (INPS), in persona del legale rappresentante pro tempore, con sede legale in via Ciro il Grande 21, 00144 Roma, C.F. 80078750587, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento, di pagare la somma di euro 12.000,00 (dodicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Istituto, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 12.000,00 (dodicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. 689/1981;

DISPONE

a) ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante;

b) ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 58, par. 2, del Regolamento, con il presente provvedimento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma,15 aprile 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei