news a cura di

L’Autorità Garante per la Protezione dei Dati Personali, con provvedimento del 27 settembre 2018, ha comminato una sanzione amministrativa pecuniaria, di importo pari ad € 4.000,00, nei confronti di una nota compagnia assicurativa, “rea” di aver effettuato una comunicazione di dati personali in assenza delle idonee basi giuridiche (consenso dell’interessato) in violazione di molteplici disposizioni – ad oggi abrogate dal Regolamento Europeo  2016/679 del Codice in materia di protezione dei dati personali (D. Lgs. 30 giugno 2003, n. 196).

Con segnalazione avvenuta in data 26 aprile 2018 (dunque, antecedentemente alla data di efficacia del GDPR) la compagnia assicurativa comunicava all’Autorità Garante di aver erroneamente inviato, per il tramite del proprio fornitore di servizi di postalizzazione, numerose comunicazioni a mezzo posta elettronica destinate a propri clienti intestatari di polizze assicurative, a soggetti diversi precisando di aver prontamente messo in atto una serie di azioni volte a circoscrivere l’evento e a prevenire il verificarsi di ulteriori episodi analoghi.

Pur riconoscendo il comportamento proattivo e collaborativo della Compagnia, l’Autorità di Controllo accertava l’illiceità del trattamento dei dati personali, sul presupposto che la comunicazione delle informazioni personali di un interessato ad un soggetto terzo/estraneo non possa avvenire in assenza di una solida e legittima base giuridica ravvisabile, nel caso di specie, nel consenso ovvero nell’esonero dalla sua acquisizione.

Circostanze attenuanti quali la prova che l’accaduto fosse stato causato da un “disallineamento” di sistema tale da aver determinato un errato abbinamento tra indirizzi e-mail e file pdf ad essi allegati, ovvero la natura “comune” dei dati erroneamente trasmessi con conseguente esclusione di rischi rilevanti per i diritti e le libertà delle persone coinvolte, o il comportamento “trasparente” della Compagnia nei confronti degli interessati nonché dell’Autorità Garante, hanno fatto sì che la sanzione amministrativa comminata fosse notevolmente ridotta rispetto a quanto previsto/ai parametri previsti dalla normativa di riferimento.

Con la piena applicazione delle disposizioni del Reg. UE n. 2016/679 e con l’innalzamento dei limiti edittali delle sanzioni amministrative pecuniarie, sarà interessante osservare, in un futuro auspicabilmente prossimo, il comportamento delle Autorità di Controllo in sede di quantificazione delle sanzioni irrogate a fronte di analoghe violazioni di dati personali.

news a cura di