Come presentare un reclamo al Garante privacy

Il reclamo previsto dall’art. 77 del Regolamento (UE) 2016/679 e dagli artt. da 140-bis a 143 del Codice privacy, il D.Lgs. 196/2003, serve a lamentare una violazione della disciplina sulla protezione dei dati personali e a chiedere una verifica dell’Autorità. Non serve a recuperare un saldo bloccato né a contestare l’esito di una scommessa.

La distinzione conta più di quanto sembri.

Un casinò che congela un prelievo in attesa di documenti sta applicando, nella maggior parte dei casi, gli obblighi di adeguata verifica del D.Lgs. 231/2007, e il Garante non entra nel merito del pagamento. L’Autorità diventa invece competente se l’operatore chiede documenti sproporzionati rispetto allo scopo, li conserva senza indicare per quanto tempo, li usa per il marketing o ignora una richiesta di accesso. Rientrano nello stesso perimetro i contatti promozionali proseguiti dopo la revoca del consenso, che a quel punto restano senza la base giuridica su cui si reggevano.

Un limite va chiarito subito. L’art. 31, comma 3, del D.Lgs. 231/2007 impone di conservare documenti e dati dell’adeguata verifica per dieci anni dalla cessazione del rapporto, quindi una richiesta di cancellazione totale dei documenti d’identità presentata subito dopo la chiusura del conto ha poche possibilità di essere accolta. Prima di scrivere, chiediti se il problema riguarda davvero il trattamento dei dati o il denaro sul conto.

Il Garante indica come primo passo l’esercizio dei diritti previsti dagli artt. da 15 a 22 del Regolamento, tra cui accesso, rettifica, cancellazione e opposizione. L’istanza al titolare del trattamento non richiede formalità particolari: bastano una raccomandata o una email, e sul sito dell’Autorità è disponibile un modulo apposito.

Il titolare deve rispondere senza ingiustificato ritardo e al più tardi entro un mese dal ricevimento. Il termine può essere prorogato di due mesi per la complessità o il numero delle richieste, ma la proroga va comunicata all’interessato entro il primo mese. Quando la risposta non arriva nei tempi, o arriva e non è soddisfacente, il reclamo diventa lo strumento naturale.

Per un casinò con concessione ADM il titolare è la società concessionaria indicata nell’informativa privacy, che di norma riporta anche il recapito del responsabile della protezione dei dati. Conviene scrivere a quell’indirizzo e non alla chat dell’assistenza, perché una conversazione in chat è difficile da allegare come prova di una richiesta formale.

Conserva la ricevuta di invio con la sua data, perché sarà il primo allegato del reclamo.

Il modello pubblicato dal Garante, scaricabile in formato.docx e.pdf, elenca gli elementi che il reclamo deve contenere, e la loro assenza rallenta l’esame. Per prima cosa va dichiarato che l’Italia è lo Stato in cui si risiede abitualmente, si lavora oppure dove si è verificata la presunta violazione.

Seguono gli estremi del titolare del trattamento e, se è noto, del responsabile. Nel caso di un casinò online il titolare è la società che gestisce il conto, con la ragione sociale e la sede riportate nell’informativa e nei termini e condizioni, non il marchio commerciale del sito.

La parte centrale è la descrizione dei fatti, il più possibile dettagliata e comprensiva delle richieste già rivolte al titolare. Il modello chiede poi di indicare le disposizioni del Regolamento e del Codice che si ritengono violate, di precisare se sono già stati esercitati i diritti degli artt. da 15 a 22 e di specificare le misure richieste all’Autorità. Tra queste il modulo prevede gli avvertimenti o ammonimenti al titolare, l’ingiunzione a soddisfare le richieste dell’interessato e la limitazione provvisoria o definitiva del trattamento, fino al divieto.

Il modello ricorda che dichiarazioni o documenti falsi davanti al Garante ricadono nell’art. 168 del Codice.

Tra gli allegati utili ci sono la copia dell’istanza inviata con la ricevuta, l’eventuale risposta dell’operatore, le schermate delle comunicazioni contestate e l’informativa privacy nella versione in vigore al momento dei fatti. Numerali nell’elenco finale del modulo, così chi istruisce la pratica trova ogni prova al suo posto.

Capita che un operatore attivo in Italia faccia parte di un gruppo con lo stabilimento principale in un altro Stato membro. In questi casi l’art. 56 del Regolamento individua un’autorità capofila, quella dello stabilimento principale o unico del titolare, che diventa l’unico interlocutore dell’operatore per i trattamenti transfrontalieri.

Il reclamo si presenta comunque al Garante italiano.

L’Autorità che lo riceve agisce come autorità interessata e coopera con la capofila secondo la procedura dell’art. 60. Il paragrafo 2 dell’art. 56 consente però di trattare il caso a livello locale se l’oggetto riguarda soltanto uno stabilimento nello Stato dell’autorità adita, oppure se incide in modo sostanziale solo sugli interessati di quello Stato. Un trattamento legato a un conto aperto su un sito con concessione italiana può rientrare in questa ipotesi, ma la valutazione spetta alle autorità e non a chi presenta il reclamo.

La conseguenza pratica riguarda i tempi. Quando si attiva la cooperazione dell’art. 60, l’art. 143, comma 3, del Codice sospende il termine di decisione per tutta la durata della procedura, per cui un reclamo contro un gruppo con sede all’estero richiede in genere più pazienza. Se il titolare non ha alcuno stabilimento nell’Unione lo sportello unico non opera; nel reclamo indica comunque la ragione sociale e la sede che trovi nei termini del sito.

Al reclamo segue un’istruttoria preliminare e, se ne ricorrono i presupposti, un procedimento formale che può concludersi con i provvedimenti dell’art. 58 del Regolamento. Contro la decisione del Garante è ammesso ricorso giurisdizionale ai sensi degli artt. 143 e 152 del Codice e dell’art. 78 del Regolamento.

Lo stesso art. 78 apre la via del giudice anche quando l’autorità non tratta il reclamo o non informa l’interessato entro tre mesi sullo stato o sull’esito.

Il Garante non liquida somme e non ordina il pagamento di vincite. Per una controversia economica con un concessionario del gioco a distanza esiste il Portale Segnalazioni dell’Agenzia delle Dogane e dei Monopoli, integrato nel Portale Unico ADM, a cui si accede con SPID o CIE indicando il conto di gioco e il concessionario. Il risarcimento del danno per un trattamento illecito, previsto dall’art. 82 del Regolamento, si chiede invece al giudice ordinario e non all’Autorità.

Le due strade possono convivere quando lo stesso episodio tocca sia i dati sia il denaro. Tieni separati i due fascicoli, perché ciascuna autorità valuta soltanto la parte di sua competenza.