L’architettura regolatoria della protezione dei dati personali manifesta, nel provvedimento del Garante provacy del 19 dicembre 2024, la propria capacità di disciplinare fenomeni opachi, laddove il diritto si pone quale argine a prassi elusive della trasparenza informativa e della corretta amministrazione dei dati.
Con questo intervento, l’Authority ha riaffermato un principio cardine del GDPR, chiarendo che la designazione del responsabile della protezione dei dati (DPO) deve rispondere a criteri di competenza, indipendenza e accessibilità.
Indice degli argomenti
Il provvedimento del Garante privacy
Il provvedimento sanziona la società Studio Riabilitazione Creditizia s.r.l.s. per una serie di violazioni inerenti alla gestione dei dati personali, con particolare riferimento alla mancata trasparenza nei confronti degli interessati, all’assenza di un’effettiva delimitazione delle responsabilità nei rapporti con i responsabili del trattamento e alla designazione irregolare del responsabile della protezione dei dati (DPO).
La vicenda ha origine da un’ispezione condotta a seguito di una segnalazione della Banca d’Italia, che ha rilevato un utilizzo improprio di dati finanziari acquisiti senza legittimazione giuridica, dando avvio a un’indagine culminata con la constatazione di molteplici criticità nella governance aziendale della privacy.
L’analisi del provvedimento consente di cogliere il significato più profondo delle prescrizioni del GDPR, che non si limita a imporre obblighi formali, ma pretende un’adesione sostanziale ai principi di liceità, correttezza e trasparenza.
Interpretazione rigorosa della normativa europea
La decisione del Garante si pone in continuità con un’interpretazione rigorosa della normativa europea, volta a riaffermare la necessità di un modello di gestione del dato incentrato sulla responsabilizzazione attiva del titolare e sulla garanzia di un controllo effettivo degli interessati sui propri dati.
L’istruttoria del Garante Privacy
L’istruttoria condotta dal Garante per la protezione dei dati personali su Studio Riabilitazione Creditizia s.r.l.s. rivela l’adozione di prassi gestionali incompatibili con l’architettura normativa delineata dal Regolamento (UE) 2016/679.
L’attività della società si articola nell’offerta di servizi finalizzati alla cancellazione di segnalazioni presso le centrali rischi, con un’operatività fondata sulla raccolta di dati personali finanziari.
Il provvedimento del 19 dicembre 2024 trae origine dalla segnalazione della Banca d’Italia, la quale ha riscontrato accessi massivi alla Centrale Rischi da parte del legale rappresentante della società, in assenza di una legittimazione giuridica.
L’irregolarità nella gestione delle informazioni ha imposto un accertamento ispettivo che, sin dalle fasi iniziali, ha posto in luce gravi anomalie, aggravate dalla mancata collaborazione della società alle richieste dell’Autorità.
GDPR, compromesso di accountability
Le violazioni accertate incidono su profili essenziali del GDPR, compromettendo il principio di accountability che impone al titolare del trattamento un controllo effettivo sulle proprie attività.
L’inosservanza degli obblighi di trasparenza ha pregiudicato il diritto degli interessati a ricevere un’informativa conforme agli articoli 13 e 14 del Regolamento.
Il trasferimento dei dati all’interno della società, avvenuto senza un chiaro inquadramento giuridico, ha escluso ogni possibilità di tracciabilità, generando un accumulo di informazioni personali che, in assenza di criteri di conservazione definiti, si è protratto oltre ogni limite di proporzionalità.
L’articolo 5, paragrafo 1, lettera e), prescrive che i dati debbano essere conservati per un periodo non superiore a quello necessario rispetto alle finalità del trattamento, impedendo qualsiasi conservazione indefinita o priva di un fondamento giuridico rigoroso.
La gestione delle figure responsabili del trattamento
Le irregolarità si estendono alla gestione delle figure responsabili del trattamento.
L’articolo 28 del GDPR impone al titolare di disciplinare i rapporti con i soggetti incaricati di trattare i dati per suo conto mediante atti giuridici vincolanti, definiti con precisione nei termini e nelle condizioni.
Studio Riabilitazione Creditizia ha omesso di predisporre contratti idonei, mantenendo in essere un sistema opaco in cui diversi soggetti intervenivano nell’elaborazione delle informazioni senza un’effettiva regolamentazione dei ruoli.
La nomina del responsabile della protezione dei dati (DPO)
Ulteriore profilo di illegittimità riguarda la nomina del responsabile della protezione dei dati (DPO).
L’articolo 37 del GDPR prescrive che tale figura debba essere individuata in base a criteri di competenza, indipendenza e assenza di conflitti di interesse.
La società ha designato il proprio legale rappresentante quale DPO, determinando una sovrapposizione tra il soggetto incaricato di sorvegliare il rispetto della normativa e colui che, al tempo stesso, assumeva decisioni in materia di trattamento dei dati.
L’incompatibilità della nomina priva il DPO della necessaria autonomia funzionale e impedisce un’efficace vigilanza interna, vanificando il presidio istituito dal legislatore europeo per garantire la conformità delle organizzazioni alle norme sulla protezione dei dati.
La sanzione e le misure correttive imposte dal Garante
Il Garante, nel valutare la gravità delle violazioni, ha imposto alla società una sanzione amministrativa pecuniaria pari a 70.000 euro, accompagnata da misure correttive che impongono una riformulazione degli assetti di governance.
La necessità di definire criteri rigorosi per la conservazione dei dati, di regolamentare i rapporti con i responsabili del trattamento e di procedere a una nomina conforme del DPO si pone come condizione essenziale per ricondurre l’operato della società nell’alveo della legalità.
Il provvedimento non si limita a sanzionare, ma configura un’imposizione regolatoria volta a ristabilire l’equilibrio tra il diritto degli interessati alla protezione delle proprie informazioni e il legittimo esercizio dell’attività imprenditoriale, riaffermando l’inscindibile legame tra compliance normativa e legittimazione dell’impresa nell’ecosistema giuridico europeo.
Un atto di ripristino della legalità
Il provvedimento del Garante del 19 dicembre 2024 non si esaurisce in una censura formale delle violazioni accertate, ma si configura come un atto di ripristino della legalità, volto a riaffermare l’esigenza di un controllo effettivo sul trattamento dei dati personali.
L’accountability del titolare (art. 5 GDPR) si colloca al centro di questa impostazione: l’adesione al Regolamento europeo non si misura sulla mera predisposizione di policy interne, ma sull’effettiva capacità di dimostrare, con documentazione concreta e meccanismi di controllo operativi, la piena conformità del trattamento.
Il rifiuto di fornire riscontri adeguati alle richieste dell’Autorità, riscontrato nel caso di Studio Riabilitazione Creditizia, non configura solo una condotta omissiva, ma denota un modello organizzativo privo di un impianto di gestione dei dati strutturato e verificabile.
Principio di trasparenza
Questa carenza gestionale incide direttamente sul principio di trasparenza (art. 14 Gdpr), la cui violazione non assume nel provvedimento un rilievo meramente formale, ma si collega a una condotta che ha sottratto gli interessati alla possibilità di esercitare consapevolmente i propri diritti.
La raccolta di informazioni personali da parte di più società, operanti sotto un medesimo centro decisionale, ha reso impossibile per gli interessati individuare con certezza il soggetto titolare del trattamento e le modalità di utilizzo dei dati.
La trasparenza, nel sistema del GDPR, non si riduce alla pubblicazione di informative standardizzate, ma costituisce il fondamento per un trattamento fondato sulla legittimazione consapevole degli interessati.
L’assenza di una segmentazione chiara tra le diverse entità coinvolte ha compromesso questo equilibrio, dimostrando l’inadeguatezza del modello di governance adottato dalla società.
La conservazione dei dati
L’inconsistenza delle misure di compliance si riflette altresì sulla conservazione dei dati (art. 5, par. 1, lett. e) GDPR. L’Autorità ha accertato l’assenza di una logica di retention definita, con la conseguenza che dati personali, anche di soggetti che non avevano mai instaurato un rapporto con la società, risultavano ancora detenuti senza una giustificazione giuridica o funzionale.
La limitazione temporale del trattamento costituisce un presidio essenziale di tutela: l’accumulo di dati oltre il tempo necessario non risponde a una finalità legittima, ma amplia il rischio di accessi indebiti, usi distorti e violazioni della sicurezza.
Il GDPR impone al titolare l’adozione di criteri chiari e verificabili per la gestione della conservazione, evitando archiviazioni indiscriminate che sottraggono i dati al controllo regolatorio.
La gestione dei responsabili del trattamento
L’assenza di una regolamentazione adeguata si riscontra anche nella gestione dei responsabili del trattamento (art. 28 GDPR).
L’Autorità ha rilevato che la società ha delegato attività di trattamento a soggetti terzi senza predisporre contratti che ne disciplinassero i compiti, i limiti e le responsabilità.
Il modello europeo di protezione dei dati impone che ogni soggetto coinvolto nel trattamento operi sulla base di obblighi definiti e verificabili, in modo da garantire un coordinamento chiaro tra titolare e responsabili.
L’assenza di atti giuridici idonei ha determinato una situazione in cui i dati venivano gestiti senza un presidio di controllo, con il rischio di trattamenti non autorizzati o difformi dalle finalità dichiarate.
Il responsabile della protezione dei dati (DPO)
L’istituzione del responsabile della protezione dei dati (DPO) risponde all’esigenza di integrare un presidio autonomo e altamente qualificato nella governance della protezione dei dati, garantendo un controllo costante sulla conformità normativa e sull’equilibrio tra esigenze organizzative e diritti degli interessati.
Il provvedimento del Garante del 19 dicembre 2024 conferma l’importanza di un’adeguata designazione, censurando la scelta di attribuire tale incarico al legale rappresentante della società, in evidente contrasto con i principi di indipendenza e imparzialità richiesti dal GDPR.
L’istituzione del DPO incide direttamente sulla qualità della governance della privacy, garantendo un controllo costante e qualificato sulle operazioni di trattamento.
Il Gdpr concepisce questa figura come un presidio essenziale, capace di assicurare un equilibrio tra le esigenze organizzative e la tutela dei diritti degli interessati.
Il provvedimento del Garante del 19 dicembre 2024 rafforza questa impostazione, individuando nella designazione del legale rappresentante della società un’alterazione dell’assetto regolatorio previsto dal Regolamento.
L’articolo 37
L’articolo 37 identifica le ipotesi in cui la nomina del DPO diventa obbligatoria, con particolare attenzione alle organizzazioni che effettuano trattamenti di dati sensibili o giudiziari su larga scala, alle attività che implicano un monitoraggio sistematico degli interessati e agli enti pubblici.
L’efficacia del DPO dipende direttamente dalle sue competenze e dalla sua autonomia. Il GDPR richiede che la designazione ricada su soggetti con una preparazione giuridica e tecnica adeguata, in grado di interpretare le disposizioni normative e di applicare le misure di protezione necessarie.
Articolo 38
L’articolo 38 chiarisce ulteriormente questa impostazione, stabilendo che il DPO debba operare senza condizionamenti e con accesso diretto alle risorse indispensabili per l’esercizio delle proprie funzioni.
I profili di incompatibilità
L’Autorità ha ricostruito con precisione i profili di incompatibilità della designazione del legale rappresentante della società, mettendo in rilievo il contrasto con l’esigenza di un controllo imparziale.
Il soggetto che stabilisce le finalità del trattamento non può esercitare un’attività di vigilanza su se stesso, poiché questa sovrapposizione impedisce una verifica oggettiva e incide sulla credibilità del sistema di protezione dei dati.
Il GDPR impone che il DPO sia posto in una posizione autonoma rispetto alle scelte strategiche dell’organizzazione, con la libertà di svolgere analisi e valutazioni senza interferenze.
La struttura normativa non lascia margini di ambiguità su questo punto: la separazione tra ruoli decisionali e funzioni di controllo rafforza l’affidabilità dell’intero sistema, proteggendo gli interessati e garantendo un presidio costante sulla liceità delle operazioni di trattamento.
La trasparenza della designazione del DPO
L’effettività della funzione del DPO dipende quindi anche dalla trasparenza della sua designazione.
Il GDPR prevede che il titolare notifichi all’Autorità di controllo la nomina e renda pubblica l’individuazione del soggetto incaricato, in modo da consentire agli interessati di interfacciarsi con un referente qualificato per la tutela delle proprie informazioni personali.
Il provvedimento del Garante ha richiamato con forza questo principio, evidenziando l’importanza di una comunicazione chiara della figura del DPO, con un accesso diretto per chi intende esercitare i propri diritti.
Il Garante ha riaffermato un principio cardine del GDPR
L’assenza di questa formalizzazione riduce l’efficacia del modello di governance del dato e ostacola il rapporto tra l’organizzazione e i soggetti coinvolti nei trattamenti.
L’intervento dell’Autorità non si è limitato a prescrivere un adeguamento formale, ma ha riaffermato un principio essenziale del GDPR: la protezione dei dati richiede un sistema strutturato, fondato su meccanismi di vigilanza credibili e su un controllo permanente della conformità.
La figura del DPO si inserisce in questa logica, assicurando che il trattamento avvenga nel rispetto dei principi di liceità, correttezza e trasparenza.
L’Autorità ha chiarito che la sua designazione deve rispondere a criteri di competenza, indipendenza e accessibilità, con una funzione che incide in modo determinante sulla qualità della protezione dei dati personali e sulla capacità dell’organizzazione di operare in un quadro di legalità effettiva.
