[doc. web n. 10066215]

Provvedimento del 26 settembre 2024

Registro dei provvedimenti
n. 587 del 26 settembre 20204

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante Codice in materia di protezione dei dati personali (di seguito, “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il Sig. XX ha lamentato il mancato riscontro, da parte del Ministero dell’interno - Prefettura di Roma (di seguito, “Ministero” o “Prefettura”) e della ASL di Roma 1 (di seguito, “ASL”), ad un’istanza, presentata ai sensi dell’art. 17 del Regolamento, recante l’esercizio del diritto di cancellazione dei propri dati personali.

In particolare, in data 7 febbraio 2023, il reclamante ha richiesto alla Prefettura e alla ASL “la cancellazione dei dati personali dai database di prefettura e ASL di competenza”, rappresentando che “In data 09.09.2009 i Vigili del Comune di [omissis] ritirarono al sottoscritto la patente di guida poiché (…) si trovava in stato di ebbrezza. Da allora sono passati 13 (tredici) anni ed il sottoscritto ha scrupolosamente seguito l’iter completo di riabilitazione previsto dalla legge italiana. Il sottoscritto non è recidivo (…) ma i suoi dati personali sono ancora presenti nelle liste della Prefettura relativa a tale reato. Ad oggi, né la Asl competente né tantomeno la Prefettura hanno provveduto alla rimozione di tali dati personali, in un eterno rimpallo di responsabilità e competenze”. Il reclamante ha allegato, al riguardo, copia della sentenza di prescrizione del reato emessa dal Tribunale di competenza.

In data 15 febbraio 2023, la ASL interpellata forniva riscontro all’interessato rappresentando l’impossibilità di “procedere (…) alla cancellazione dei dati custoditi presso la Commissione Medica Locale Roma 1^ in quanto la normativa vigente stabilisce che il relativo fascicolo debba essere conservato per almeno venti anni. Trattandosi di una pratica chiusa nel 2019, la cancellazione dei dati non potrà avvenire prima del 2039”. Nessun riscontro alla predetta istanza di esercizio dei diritti perveniva, invece, da parte del Ministero dell’interno.

2. L’attività istruttoria.

Ciò posto, con nota dell’11 aprile 2023, l’Autorità ha formulato nei confronti del Ministero una richiesta di informazioni ai sensi dell’art. 157 del Codice), volta ad acquisire ogni elemento utile alla valutazione del caso, invitando altresì il Ministero, ai sensi dell’art. 15 del Regolamento n. 1/2019, ad aderire all’istanza di esercizio dei diritti presentata dal reclamante. Successivamente, con nota del 27 aprile 2023 la Prefettura ha rappresentato all’Autorità di aver “disposto nei confronti del sig. XX la sottoposizione a revisione medica, la sospensione provvisoria della validità della patente di guida e ha provveduto, così come disposto dall’art. 223 c. 1, all’aggiornamento dell’Anagrafe Nazionale”, dichiarando di essersi “limitata esclusivamente ad inserire il dato nella suddetta Anagrafe che non è accessibile a soggetti terzi, ma al solo personale amministrativo autorizzato”.

Mancando, tuttavia, evidenza dell’eventuale riscontro del Ministero all’istanza di esercizio dei diritti presentata dal reclamante, l’Autorità, con nota del 20 maggio 2023, ha formulato una ulteriore richiesta di informazioni, a seguito della quale il Ministero, con nota del 17 luglio 2023, ha fornito il dovuto riscontro, rappresentando al reclamante di aver “provveduto ad inserire il dato esclusivamente” nell’Anagrafe nazionale degli abilitati alla guida, la quale “non è accessibile a soggetti terzi, ma al solo personale amministrativo autorizzato” e che, inoltre, non esisterebbe “alcuna “lista” pubblicata sul proprio sito istituzionale”.

Sulla base degli elementi acquisiti, l’Ufficio ha notificato al Ministero dell’interno – Prefettura di Roma, con nota del 20 ottobre 2023, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, contestando al Ministero la violazione degli art. 12, parr. 1, 3 e 4, del Regolamento, per aver riscontrato tardivamente l’istanza di esercizio dei diritti presentata dal reclamante ai sensi del citato art. 17.

In tale contesto, l’Ufficio ha invitato il Ministero a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24 novembre 1981). Il Ministero quindi, con nota del 6 ottobre 2023, ha trasmesso le proprie memorie difensive, rappresentando, in particolare, che:

- “l’ufficio, come da disposto normativo (art. 223 c. 1 codice della strada, ma vedasi anche l’art. 226 commi 10 e seguenti e, in particolare, il comma 12 che cita testualmente le prefetture), ha, tra le altre cose, adempiuto all’obbligo di comunicazione all’anagrafe nazionale degli abilitati alla guida”;

- “l’anagrafe non è liberamente accessibile da parte di terzi: nessun dato personale può esservi attinto; nessuna menomazione del diritto alla riservatezza è dunque ipotizzabile. Il diritto all’oblio ha ragion d’essere solo se sussiste un pubblico potenzialmente in grado di carpire le informazioni - aspetto del tutto assente nella disputa de qua. Peraltro, coerentemente con quanto appena affermato, il Reg. UE 679/16, all’art. 17 par. 3, dopo aver riconosciuto il diritto all’oblio, ne delimita i confini, disponendo, per quanto qui rileva, che tale posizione giuridica può essere pretermessa “per l’adempimento di un obbligo giuridico […] o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (lett. b)) e “per motivi di interesse pubblico nel settore della sanità pubblica” (lett. c) stesso paragrafo)”;

- “non si possa dare risposta positiva alla domanda di parte, visto che l’amministrazione prefettizia, nel trattare quei dati personali, ha: - adempiuto un obbligo legale (art. 17 par. 3 lett. b) prima parte Reg. UE cit., in combinato disposto con l’art. 223 c. 1 codice della strada); - eseguito un’attività di pubblico rilievo (art. 17 par. 3 lett. b) in fine); - soddisfatto interessi di sanità pubblica (art. 17 par. 3 lett. c) in connessione con l’art. 9)”;

- “il diritto all’oblio è stato esercitato dalla parte privata con domanda del 7.2.23; ad essa è seguita la risposta di questa amministrazione del 27.4.23. E’ ben vero che non è stata rispettata la tempistica di 30 giorni di cui all’art. 12 par. 3 Reg. UE, ma, vista la ristrettezza delle risorse umane e materiali che affligge l’ufficio, l’aver oltrepassato il limite pur rimanendo entro la cornice massima fissata dalla normativa (30 giorni ordinari + 60 giorni di proroga in via straordinaria) si può considerare un’omissione di poco momento, scusabile o, quantomeno, lievemente colposa.

Ciò è ancor più vero se tiene conto del fatto che l’interessato è una sola persona fisica e che le finalità e l’oggetto del trattamento attengono ad aspetti pubblicistici di sicuro rilievo, come indicato poco sopra”;

- “è stata adottata prontamente una misura correttiva, consistente nell’invio di una risposta più approfondita ed articolata all’istanza di parte […]; con ciò si è inteso procedere all’eliminazione di ogni possibile pregiudizio privato”;

- “l’infondatezza nel merito dell’istanza di parte per le ragioni indicate non può che essere un elemento da tener in conto”.
Si è successivamente tenuta, in data 19 febbraio 2024, l’audizione richiesta dal Ministero con nota del 20 novembre 2023, nel corso della quale il Ministero ha ulteriormente precisato che:

- “gli uffici della Prefettura sono chiamati a trattare i dati personali nell’ambito di un elevato numero di procedimenti amministrativi, afferenti, peraltro, a molteplici settori di intervento, in ragione delle ampie competenze attribuite alla Prefettura; in tale contesto, si evidenzia altresì che l’istanza di esercizio dei diritti presentata dal reclamate non rientra nelle ordinarie attività svolte quotidianamente dalla Prefettura e, per tale ragione, probabilmente non è stata immediatamente inquadrata nei termini dovuti; si evidenzia, altresì, che l’istanza di esercizio dei diritti presentata dal reclamante è la prima ricevuta da questo Ufficio della Prefettura”;

- “nel periodo in questione […] l’Ufficio della Prefettura interessato dall’istanza del reclamante era temporaneamente retto da altro Dirigente - che contemporaneamente dirigeva altra area altrettanto strategica - in sostituzione del titolare dell’Ufficio; […] al pari di molte altre amministrazioni, il predetto Ufficio risente di una mancanza di personale”;

- “nel dicembre 2023, il Ministro dell’interno ha adottato un regolamento relativo al trattamento dei dati personali (cfr. decreto del 15 dicembre 2023, recante la disciplina dell’assetto organizzativo delle strutture e dei soggetti in materia di trattamento dei dati personali); inoltre, la Prefettura, anche alla luce dell’istruttoria avviata dall’Autorità, ha ritenuto opportuno sensibilizzare tutti i dirigenti e i dipendenti in merito alla disciplina sul trattamento dei dati personali e ai connessi adempimenti”;

- “oltre alle difficoltà sopra rappresentate, […]  si evidenzia, nel merito, che nel modulo trasmesso dal reclamante non è stata flaggata la richiesta di comunicazione al reclamante ai sensi dell’art. 12, par. 4, del Regolamento e ciò ha indotto la Prefettura a non considerare come perentorio il termine di 30 giorni previsto per il riscontro, atteso peraltro che, dal punto di vista sostanziale, la richiesta di cancellazione formulata dal reclamante non avrebbe potuto essere legittimamente accolta. Ciò in quanto l’indicazione del termine per la revisione della patente di guida resta registrato nella “Anagrafe Nazionale degli Abilitati alla Guida”, con funzione di alert per la validità della patente stessa. Il termine per la revisione delle patenti sospese è fissato discrezionalmente dalla Commissione medica competente e resta visibile fin quando al soggetto non venga rilasciata una patente con revisione ordinaria. Alla Commissione medica compete stabilire la cadenza con cui ripetere le visite; il verbale della Commissione medica è trasmesso alla motorizzazione, mentre al Ministero dell’interno viene trasmesso, affinché le forze dell’ordine provvedano alla cancellazione dei dati dallo SDI”.

Il Ministero ha chiesto, quindi, in questa sede, di procedere all’archiviazione del procedimento amministrativo, e, in subordine, l’adozione di un provvedimento correttivo con l’applicazione di una sanzione nella minore entità possibile.

3. Esito dell’attività istruttoria.

3.1 Normativa applicabile.

In linea generale, si fa presente che il trattamento di dati personali posto in essere in ambito pubblico è lecito se è necessario per l’esecuzione di un compito di interesse pubblico di cui è investito il titolare (art. 6, par. 1, lett. e), del Regolamento) e deve avvenire, in ogni caso, nel rispetto dei principi in materia di protezione dei dati personali, fra i quali quello di “liceità, correttezza e trasparenza” in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a), del Regolamento).

Inoltre, gli articoli da 15 a 22 del Regolamento attribuiscono all’interessato il diritto di chiedere al titolare del trattamento l’accesso ai dati personali, la rettifica, la cancellazione degli stessi, la limitazione del trattamento che lo riguarda o di opporsi al loro trattamento, nonché il diritto alla portabilità dei dati, qualora ne ricorrano i presupposti.

Tali diritti mirano a rendere consapevole l’interessato dei trattamenti dei dati che lo riguardano e, pertanto, in un’ottica di correttezza e trasparenza nei confronti di quest’ultimo, è necessario che il titolare del trattamento fornisca un idoneo e tempestivo riscontro anche laddove l’istanza presentata non possa essere accolta.

L’art. 12, par. 3, del Regolamento stabilisce, infatti, che il titolare del trattamento – a prescindere dalla fondatezza o meno dell’istanza dell’interessato - debba dare riscontro senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste, fermo restando che l’interessato debba essere informato di tale proroga e dei motivi del ritardo entro un mese dal ricevimento della richiesta.

Se non ottempera alla richiesta dell'interessato, il titolare del trattamento deve, in ogni caso, informarlo senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo, nonché di proporre un ricorso giurisdizionale (cons. 59 e art. 12, par. 4, del Regolamento).

3.2 Il riscontro del Ministero all’istanza di esercizio dei diritti formulata dal reclamante.

Dall’accertamento compiuto sulla base degli elementi acquisiti, delle dichiarazioni rese e dei fatti emersi a seguito dell’attività istruttoria condotta, nonché delle successive valutazioni di questo Dipartimento, si rileva che il Ministero non ha ritenuto di rispondere all’interessato, tra l’altro, “in quanto la richiesta di cancellazione formulata dal reclamante non avrebbe potuto essere legittimamente accolta […]” (cfr. verbale dell’audizione del 19 febbraio 2024), fornendo una comunicazione all’interessato solo dopo le richieste formulate dall’Autorità, mentre, a norma dell’art. 12, par. 3, del Regolamento, il riscontro è dovuto, nei termini previsti, a prescindere dalla fondatezza o meno dell’istanza.

Per tali ragioni, risulta accertato che il Ministero non ha fornito, nei termini prescritti dal citato art. 12, par. 3, del Regolamento, il dovuto riscontro all’istanza di esercizio dei diritti avanzata dal reclamante in data 7 febbraio 2023, trasmettendo a quest’ultimo le dovute comunicazioni solo in data 17 luglio 2023. Risulta, pertanto, accertata la violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva la violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento da parte del Ministero dell’interno.

Ciò premesso, tenuto conto che:

la violazione ha riguardato un solo interessato e l’istanza di esercizio dei diritti presentata dal reclamante è la prima ricevuta dall’Ufficio della Prefettura coinvolto (cfr. verbale dell’audizione del 19 febbraio 2024);

la violazione è avvenuta in un contesto organizzativo particolarmente critico, nell’ambito del quale il predetto Ufficio è stato chiamato a far fronte ad un ampio numero di funzioni e molteplici settori di intervento, in carenza di un organico adeguato e in un momento di temporanea sostituzione della dirigenza;

il titolare del trattamento ha prestato piena collaborazione all’Autorità nel corso dell’istruttoria e, a seguito della stessa, ha provveduto a sensibilizzare tutti i dirigenti e i dipendenti in merito alla disciplina in materia di trattamento dei dati personali e ai connessi adempimenti;

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;

le circostanze del caso concreto inducono a qualificare la presente fattispecie come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Si ritiene, pertanto, relativamente al caso in esame, che sia sufficiente ammonire il titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per avere violato l’art. 12, parr. 1, 3 e 4, del Regolamento.

Considerato che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), dichiara illecita la condotta tenuta dal Ministero dell’interno, con sede in Palazzo del Viminale, C.F. 97149560589, 00184, Roma, descritta nei termini di cui in motivazione, consistente nella la violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, ammonisce il Ministero dell’interno, quale titolare del trattamento in questione, per aver violato l’art. 12, parr. 1, 3 e 4, del Regolamento, come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 settembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei