Sulla nota querelle tra Movimento 5 Stelle (M5S) e Associazione Rousseau (AR) si è pronunciato il Garante in via di urgenza sulla istanza di consegna dei dati (degli iscritti al M5S) ex art. 28.3.g reg. 676/2016 UE (provv. 01.06.2021 reg. provv. n. 223 del 01.06.2021, doc. web n. 9592011).
La disposizione citata prevede in capo al responsabile il dovere di restituire al trattamento i dati personali trattati .
La mancata consegna nella fase precedente era sostanzialmente articolata sulla carenza di legittimazione attiva nella persona che aveva agito e sulla base del fatto che mancava un contratto regolativo del rapporto responsabile/titolare, come impone il reg. UE nell’incipt dell’art. 28.3.
Il Garante accoglie l’istanza di M5S così motivando:
<<RILEVATO che in base all’art. 28, par. 3, lett. g) del Regolamento, il responsabile del trattamento, “su scelta del titolare del trattamento”, è tenuto a cancellare o a restituire tutti i dati personali “dopo che è terminata la prestazione dei servizi relativi al trattamento” e a provvedere alla cancellazione delle copie esistenti “salvo che il diritto dell’Unione o degli Stati membri preveda laconservazione dei dati”; ritenuto che la predetta disposizione debba trovare applicazione anche laddove l’atto regolatorio delrapporto titolare/responsabile non lo preveda espressamente ovvero, come nel caso esame, sia precedente alla data di entrata invigore del Regolamento (come da atto di designazione dell’Associazione Rousseau quale responsabile del trattamento del 25aprile 2016); ciò allo scopo di tutelare – nel momento in cui subentri un rapporto conflittuale tra le parti – gli interessi del titolare deltrattamento e, in particolar modo, degli interessati che abbiano nel corso degli anni conferito i propri dati al Movimento 5 Stelle sullabase dell’informativa dal medesimo resa;
RITENUTO che, essendo circostanza incontestata che il Movimento sia il titolare del trattamento, è di conseguenza pacifico che, in tale qualità, abbia diritto di disporre dei dati personali degli iscritti per utilizzarli, limitatamente al perseguimento delle proprie finalità. Tali dati, pertanto, potranno essere utilizzati per il perseguimento delle sole finalità istituzionali del Movimento per le quali tali datisono stati ad esso conferiti
RITENUTO pertanto che, con riferimento alla richiesta di consegna dei dati personali degli iscritti al Movimento ricorrano i presupposti per un intervento correttivo dell’Autorità ai sensi dell’art. 58. par. 2, lett. d) del Regolamento; ritenuto quindi di dover ingiungere all’Associazione Rousseau di provvedere, quale responsabile del trattamento, a dare attuazione al disposto di cui all’art.28, par. 3, lett. g) mediante consegna al Movimento 5 Stelle, nelle forme e secondo le modalità indicate dal titolare medesimo, di tutti i dati personali degli iscritti al Movimento, di cui l’Associazione risulti responsabile, entro 5 (cinque) giorni dal ricevimento del presente provvedimento; ciò fermo restando l’ulteriore trattamento dei dati personali di quegli iscritti rispetto ai quali l’AssociazioneRousseau sia al contempo autonomo titolare del trattamento. Nelle more della consegna al Movimento dei dati in questione,Associazione Rousseau dovrà astenersi da ogni ulteriore trattamento dei dati stessi, tranne esplicite, specifiche richieste delMovimento>>.
Due osservazioni:
i) l’anteriorità dei fatti rispetto al reg. UE non risulta dedotta da AR, in base a quanto si legge nel provvedimento (salvo errore).
ii) l’affermazione di esistenza del dovere di riconsegna anche in mancanza di contratto (scritto, direi, pur se la disposizione tace sul punto) è probabilmente giusta. In quanto elemento centrale della difesa AR, però, meritava una motivazione più approfondita.