Acquirente Unico S.p.A.
ordinanza ingiunzione con sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante accerta violazioni degli artt. 12, 16 e 28 GDPR da parte di Acquirente Unico S.p.A. nella gestione del Sistema informativo integrato, con particolare riferimento all'inadeguata risposta alle istanze di rettifica dati personali e alla presenza di circa 11.711 clienti ultracentenari con 25.713 forniture attive. Irrogata sanzione di 90.000 euro con prescrizioni di conformità entro 9 mesi.
L'inadeguatezza nel riscontro alle istanze di rettifica viola il diritto dell'interessato ex art. 16 GDPR anche quando il gestore del database non sia formalmente responsabile dell'inserimento iniziale dei dati.
Approfondimento
Soggetti coinvolti
almeno 5 ricorrenti identificati (Sig. XX, Sig. XX, Sig. XX, Sig. XX, Sig.ra XX); circa 11.711 clienti ultracentenari con 25.713 forniture attive nel Registro Centrale Ufficiale
Riferimenti normativi
Lettura del caso
Temi affrontati — violazione diritti di accesso e rettifica dati personali; inadeguatezza procedure di riscontro
Conseguenze — Acquirente Unico S.p.A. deve conformarsi entro 9 mesi alle prescrizioni formulate nel paragrafo 6 del provvedimento, fornendo riscontro documentato; pagamento di 90.000 euro entro 30 giorni dalla notifica; è consentito il pagamento di 45.000 euro entro il termine previsto per ricorso; pubblicazione del provvedimento sul sito del Garante
- grado elevato di responsabilità del titolare
- inadeguatezza procedure di rictifica
- ampia portata della condotta illecita inerente a banca dati pubblica di rilevanza nazionale. Fattori
- peculiare struttura processi tecnici del SII e prassi operative
- assenza di precedenti violazioni specifiche su medesima materia
- misure adottate per mitigare conseguenze della violazione limitatamente al Sig. XX
- attiva cooperazione con l'Autorità
- recenti iniziative per rafforzare compliance
- natura giuridica di società in house a partecipazione pubblica totale
- principi di effettività, proporzionalità e dissuasività
I gestori di database pubblici critici devono implementare procedure robuste e autonome di verifica e rettifica dati, non delegando totalmente la responsabilità ai fornitori.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.