Trattamento illecito dati personali: il caso
Il Garante è stato nuovamente e recentissimamente chiamato a pronunciarsi a seguito del ricorso di un interessato il quale ha lamentato il trattamento illecito dei propri dati personali.
Egli a posteriori ha saputo che una signora – la quale si era presentata presso la sede di lavoro del reclamante affermando di essere una cliente interessata a un preventivo – altri non era che una collaboratrice di una agenzia investigativa, e aveva quale reale scopo quello di svolgere attività investigativa e di effettuare registrazioni audio e riprese videofotografiche.
Il signore ha denunciato di non avere ricevuto alcuna informativa in ordine all'attività effettuata dalla signora né, ovviamente, di avere fornito alcun consenso al riguardo.
All'esito dell'istruttoria il Garante ha accertato che l'agenzia investigativa aveva ricevuto un incarico da un uomo il cui fine ultimo era quello di tutelare un proprio diritto in sede giudiziaria nei confronti della ex moglie, con la quale vi era un giudizio di divorzio in corso. Tra gli obiettivi dell'indagine vi era anche quello, appunto, di comprendere la relazione esistente tra la donna e l'interessato, possibile suo nuovo compagno.
L'agenzia di investigazioni ha dichiarato di essersi avvalsa della deroga all'obbligo di informativa preventiva agli interessati, nonché dell'obbligo di acquisirne il consenso per il trattamento dei dati, essendo stati peraltro i medesimi trattati esclusivamente per le finalità di legge e per il periodo strettamente necessario al loro perseguimento, nonché per il fatto che tale informativa, qualora fornita, avrebbe reso impossibile e gravemente pregiudicato il conseguimento della finalità del trattamento, ovvero il perseguimento del legittimo interesse (art. 9 paragrafo 2 lett. F - Regolamento UE 679/2016 - ex art. 13, co. 5 lett. B e 24 co. 1 lett. F, D. L. vo 196/2003; art. 14 GDPR - paragrafo 5).
Art. 13 Gdpr
Le giustificazioni fornite dall'agenzia sono inidonee a giustificare il suo operato, in quanto l'art. 13 del GDPR prevede l'obbligo di fornire l'informativa all'interessato quando i dati siano raccolti presso il medesimo. L'esimente richiamata dall'agenzia, infatti, è applicabile solo quando i dati dell'interessato sono acquisiti presso terzi, e non anche se ricevuti dall'interessato stesso. Ai sensi dell'art. 4, paragrafo 1, n. 1) del GDPR, costituisce dato personale "qualsiasi informazione riguardante una persona fisica identificata o identificabile". Ai sensi dell'art. 4, paragrafo 1, n. 2), costituisce trattamento "qualsiasi operazione o insieme di operazioni compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali". Pertanto, la raccolta delle informazioni relative al reclamante, la loro registrazione, elaborazione, inserimento nella relazione investigativa e comunicazione al committente, costituiscono trattamento di dati personali.
Il consenso preventivo dell'interessato all'acquisizione e al trattamento dei suoi dati personali non è richiesto se le operazioni sono necessarie per tutelare un diritto in sede giudiziaria (artt. 6, paragrafo 1, lettera e) e 9, paragrafo 2, lettera f)). Il signor X è stato però oggetto diretto dell'attività di investigazione, in quanto alcuni dati a lui afferenti sono stati raccolti direttamente presso il medesimo – da ritenersi pertanto "interessato", ai sensi dell'art. 4, paragrafo 1, numero 1) del GDPR – tramite i collaboratori dell'agenzia investigativa che si sono recati in incognito presso il reclamante ed hanno acquisito informazioni attraverso una interlocuzione immediata con lui, come risulta ampiamente documentato dalla relazione investigativa. Pertanto, essendo stati raccolti i dati personali presso l'interessato, ai sensi dell'art. 13 del GDPR l'informativa nei suoi confronti era dovuta.
Il provvedimento del Garante
Il Garante (con provvedimento 9779119) - rilevato che l'attività investigativa riguardava anche l'acquisizione di informazioni relative al reclamante perché interessava comprendere l'eventuale legame con la ex moglie del committente, nel presupposto di chiarire i termini della loro frequentazione - ha quindi sanzionato l'agenzia investigativa per avere effettuato un trattamento di dati personali in violazione dell'articolo 13, paragrafo 1, lettera c) del GDPR, avendo raccolto dati personali presso l'interessato senza fornirgli l'informativa di cui al medesimo articolo.
Osservazioni
È possibile acquisire e trattare dati personali senza il consenso preventivo dell'interessato quando la finalità è di tutelare un diritto in sede giudiziaria, purché i dati siano acquisiti presso terzi e non presso l'interessato stesso. Questa esimente, infatti, non solleva il titolare del trattamento dal rispetto di tutti gli altri obblighi previsti dal GDPR.