Chi cerca consulenza privacy a Napoli raramente lo fa in anticipo. Nella grande maggioranza dei casi la telefonata arriva dopo: un dipendente che ha presentato un reclamo per le telecamere installate in reparto, un ex cliente che ha chiesto la cancellazione dei suoi dati e non ha ricevuto risposta, una richiesta di informazioni dell’Autorità recapitata via PEC, una violazione di dati che ha reso improvvisamente urgente capire chi fosse il titolare di che cosa.
È una sequenza prevedibile, ed è utile conoscerla, perché il momento in cui si interviene cambia radicalmente lo spazio di manovra.
Da dove partono i procedimenti
Il Garante apre procedimenti in tre modi: d’ufficio, su segnalazione e — soprattutto — su reclamo ai sensi dell’art. 77 del Regolamento. Il reclamo è lo strumento più utilizzato perché è gratuito, non richiede un avvocato e può essere presentato da chiunque ritenga che il trattamento dei propri dati violi la normativa.
Chi lo presenta, nella pratica, è quasi sempre qualcuno che ha avuto un rapporto con l’organizzazione e che quel rapporto lo ha chiuso male. Un dipendente uscito dopo un contenzioso di lavoro. Un socio che se n’è andato. Un cliente rimasto insoddisfatto. Un paziente. Un utente che ha continuato a ricevere comunicazioni commerciali dopo avere chiesto di smettere. Il reclamo, in questi casi, non è quasi mai il fine: è uno strumento di pressione dentro una vicenda più ampia. Ma il procedimento che ne consegue è reale e segue le sue regole.
Che cosa contesta l’Autorità ad aziende e studi professionali
Una volta aperto il fascicolo, l’istruttoria non si limita al fatto segnalato. Le richieste di informazioni ai sensi dell’art. 157 del Codice sono ampie, e il quadro documentale che ne emerge è spesso più problematico dell’episodio che ha dato origine a tutto.
- Base giuridica del trattamento. È il punto centrale. Consenso invocato dove serviva il contratto, legittimo interesse dichiarato senza che di quel bilanciamento esista traccia, obblighi di legge citati genericamente.
- Informativa non corrispondente alla realtà. Abbiamo dedicato un approfondimento agli errori più frequenti nell’informativa privacy sul sito web.
- Registro dei trattamenti assente, incompleto o non aggiornato. È il primo documento richiesto in verifica: ne abbiamo parlato a proposito del registro delle attività di trattamento.
- Rapporti con i fornitori non regolati. Gestionali in cloud, consulenti del lavoro, società di manutenzione informatica, piattaforme di marketing: ciascuno di essi tratta dati per conto del titolare e richiede l’atto previsto dall’art. 28. Il tema è affrontato nell’articolo sulla nomina del responsabile del trattamento.
- Riscontro alle richieste degli interessati. L’art. 12 fissa un termine di un mese, prorogabile di due in casi giustificati. Il silenzio è, di per sé, una violazione.
- Videosorveglianza e controlli sul lavoro. È il capitolo su cui si concentra la parte più consistente del contenzioso: senza accordo sindacale o autorizzazione dell’Ispettorato manca il presupposto stesso dell’installazione, come abbiamo visto parlando di videosorveglianza sul luogo di lavoro.
Il tessuto produttivo dell’area napoletana e i trattamenti che vi si concentrano
Alcune categorie di attività, molto rappresentate nella città metropolitana di Napoli e in Campania, trattano per loro natura dati che il Regolamento considera particolari o che comportano un monitoraggio sistematico degli interessati: poliambulatori, laboratori di analisi e strutture sanitarie private; studi professionali associati che gestiscono dati di clienti e di dipendenti altrui; società che erogano servizi in appalto o in concessione per comuni ed enti pubblici; operatori della logistica e del commercio elettronico; ordini professionali; strutture ricettive e della ristorazione con sistemi di videosorveglianza estesi.
Per tutte queste realtà la designazione di un Responsabile della protezione dei dati è spesso obbligatoria, e la sua assenza o la sua collocazione impropria diventa un rilievo autonomo. Ne abbiamo scritto negli articoli dedicati al DPO esterno a Napoli e al DPO nella pubblica amministrazione.
Quanto costa
L’art. 83 del Regolamento distingue due fasce. Le violazioni degli obblighi organizzativi — registro, sicurezza, nomina del DPO, valutazione d’impatto, notifica delle violazioni di dati — arrivano fino a dieci milioni di euro o al due per cento del fatturato mondiale totale annuo dell’esercizio precedente. Le violazioni dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti arrivano fino a venti milioni o al quattro per cento.
Gli importi effettivamente irrogati dipendono dalla natura e dalla gravità della violazione, dal numero di interessati coinvolti, dalla durata, dal carattere doloso o colposo, dalle misure adottate per attenuare il danno e dal grado di cooperazione con l’Autorità. Su questo abbiamo scritto in modo più esteso in sanzioni privacy: quanto costa davvero una violazione del GDPR.
Accanto alla sanzione pecuniaria vanno considerati i poteri correttivi dell’art. 58 — ammonimento, ingiunzione, limitazione o divieto del trattamento — e l’azione risarcitoria che l’art. 82 riconosce all’interessato davanti al giudice ordinario. Quest’ultima, nel contenzioso di lavoro, è ormai una costante.
Che cosa si può ancora fare dopo l’apertura di un procedimento
Molto, se si agisce nei termini. Il procedimento davanti al Garante ha una sua scansione: la richiesta di informazioni, l’eventuale contestazione della violazione ai sensi dell’art. 166, comma 5, del Codice, il termine di trenta giorni per le memorie difensive e per la richiesta di audizione. Sono termini brevi, e sono i termini entro i quali si costruisce la posizione del titolare. Le condotte tenute dopo la contestazione — le misure correttive adottate, la collaborazione prestata — rilevano espressamente nella determinazione della sanzione.
Come lavora lo studio
Lo studio dell’avv. Elio Errichiello ha sede a Napoli e assiste in tutta Italia. Svolge incarichi di Responsabile della protezione dei dati per ordini professionali, comuni, enti pubblici non economici e strutture sanitarie private, e assiste aziende e professionisti nei procedimenti davanti al Garante e nel contenzioso risarcitorio. L’attività è descritta nella pagina del servizio di consulenza privacy e protezione dei dati personali e in quella dedicata al DPO e all’obbligo di nomina. Per il diritto amministrativo e le altre materie è disponibile il sito dell’avv. Elio Errichiello.
Se avete ricevuto un reclamo, una richiesta di informazioni o una contestazione, oppure se volete capire a che punto siete prima che lo stabilisca qualcun altro, il primo passo è un esame preliminare della documentazione e dei termini in corso. Scrivete allo studio indicando il tipo di attività e che cosa è arrivato.
