Diritto di accesso: il Garante Privacy ribadisce l’obbligo di rispondere entro 30 giorni e punisce i ritardi nella consegna dei dati personali.
Il caso e la violazione del diritto di accesso
Il Garante per la Protezione dei Dati Personali ha sanzionato una banca con 100 mila euro per non aver rispettato il diritto di accesso di un cliente, come previsto dall’articolo 15 del GDPR.
L’interessato, vittima di una frode informatica che aveva portato all’esecuzione di un bonifico di circa 10mila euro, aveva chiesto alla banca di poter ottenere copia delle registrazioni delle conversazioni telefoniche intercorse con il servizio clienti, necessarie per ricostruire i fatti e tutelare i propri diritti.
La banca, tuttavia, non aveva fornito una risposta completa entro il termine dei 30 giorni stabilito dal Regolamento, costringendo il cliente a rivolgersi al Garante Privacy. Solo dopo l’apertura del procedimento l’istituto ha trasmesso le registrazioni richieste, ma ormai fuori tempo massimo.
Il provvedimento dell’Autorità sottolinea ancora una volta l’importanza di rispettare i termini procedurali previsti dal GDPR e di garantire una risposta puntuale, chiara e completa alle richieste degli interessati.
Le registrazioni telefoniche sono dati personali
Il Garante ha ribadito che anche le registrazioni vocali possono essere considerate dati personali quando contengono informazioni riferibili a una persona identificata o identificabile.
Il diritto di accesso, pertanto, non riguarda solo i dati anagrafici o contrattuali, ma ogni informazione che consenta di ricondurre un dato all’interessato, incluse le telefonate con i servizi clienti e le comunicazioni audio archiviate dai titolari.
Nel fornire accesso a queste informazioni, il titolare deve comunque garantire un corretto bilanciamento tra i diritti dell’interessato e quelli di eventuali terzi coinvolti nella comunicazione, come previsto dalle Linee Guida EDPB 01/2022, adottando se necessario misure di oscuramento o estrazione parziale dei dati.
La valutazione del Garante e i criteri della sanzione
Nel definire l’entità della sanzione, l’Autorità ha preso in considerazione diversi elementi: la gravità della violazione, la durata del ritardo, la cooperazione dimostrata dalla banca nel corso dell’istruttoria e l’assenza di precedenti.
L’ammontare finale, pari a 100mila euro, è stato determinato anche in funzione del fatturato dell’istituto, in linea con il principio di proporzionalità previsto dal Regolamento.
Il caso conferma l’orientamento ormai consolidato del Garante: i ritardi o le risposte incomplete alle richieste degli interessati costituiscono violazioni gravi dei diritti garantiti dal GDPR e incidono direttamente sul principio di accountability, che impone ai titolari di dimostrare la propria conformità.
Per saperne di più > Il principio di Accountability nel GDPR e i documenti utili
Il provvedimento completo è disponibile qui.
Le buone pratiche per rispettare il diritto di accesso
Per evitare violazioni analoghe, le aziende devono adottare procedure chiare e documentate per la gestione delle istanze di esercizio dei diritti. È fondamentale prevedere:
1. Un processo di identificazione sicura dell’interessato
Prima di fornire dati personali, il titolare deve accertarsi dell’identità di chi presenta la richiesta, per evitare divulgazioni indebite.
Le Linee Guida EDPB 01/2022 raccomandano di adottare modalità di verifica proporzionate al rischio: ad esempio, confrontando i dati già registrati (come indirizzo email o numero cliente), richiedendo un documento di identità o autenticando l’accesso tramite un portale riservato. In ogni caso, la verifica deve essere documentata e commisurata alla sensibilità dei dati richiesti.
2. La ricerca e raccolta sistematica dei dati richiesti
Il titolare deve disporre di un sistema interno che consenta di localizzare tutti i dati personali relativi all’interessato, anche se distribuiti tra reparti o archivi diversi (es. CRM, registrazioni telefoniche, email, database contabili).
È importante nominare un responsabile del processo e stabilire procedure operative che assicurino una risposta completa e coerente con quanto previsto dall’articolo 15 del GDPR.
3. La risposta entro 30 giorni
Il termine di 30 giorni decorre dalla ricezione della richiesta e può essere prorogato di ulteriori 60 giorni solo in casi di particolare complessità o numero elevato di istanze, a condizione che l’interessato sia informato del motivo del ritardo entro i primi 30 giorni (art. 12, par. 3 GDPR).
La risposta deve essere scritta, chiara e accessibile, e contenere tutte le informazioni previste dal Regolamento.
4. La tracciabilità e documentazione dell’intero procedimento
Ogni fase — dalla ricezione alla risposta — deve essere registrata e archiviata, così da poter dimostrare, in caso di verifica o reclamo, l’adozione di misure adeguate.
La tracciabilità può essere garantita tramite un registro interno delle richieste o un sistema informatico dedicato.
Approfondisci tutte le buone pratiche sul diritto di accesso ai dati personali nella nostra guida dedicata > Linee guida sul diritto di accesso ai dati personali
Il testo completo delle linee guida è disponibile qui.
Cerchi piattaforme per adempiere a 360° al GDPR ed evitare sanzioni? Vedi qui! Oppure ti serve formazione? O un consulente privacy?
