Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Red Hot Cyber Academy

Diritto di accesso dell’interessato: il ritardo nella risposta costa 20mila a Deutsche Bank

Stefano Gazzella : 12 Agosto 2022 08:00

Autore: Stefano Gazzella

Con il provv. 16 giugno 2022 n. 226 l’autorità garante per la protezione dei dati personali ha sanzionato per 20 mila euro Deutsche Bank in seguito ad un reclamo presentato da un interessato avente ad oggetto l’illecito trattamento di dati personali consistente nella segnalazione del nominativo in CRIF “in assenza della comunicazione di preavviso di cui all’art. 4, comma 7, del “Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti” e il mancato riscontro ad una richiesta di accesso ai sensi dell’art. 15 GDPR.

Il reclamante aveva infatti inviato una PEC a luglio 2020 con cui esercitava il proprio diritto richiedendo copia dell’informativa privacy, non ricevendo però alcuna risposta fino a giugno 2021 in seguito alla presentazione del reclamo e all’intervento del Garante Privacy con la richiesta di fornire delle osservazioni in merito.

Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

  • Creare Un Sistema Ai Di Visual Object Tracking (Hands on)
  • Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake
  • Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?
  • Come Hackerare Un Sito WordPress (Hands on)
  • Il Cyberbullismo Tra Virtuale E Reale
  • Come Entrare Nel Dark Web In Sicurezza (Hands on)

  • Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
    Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765


    Supporta RHC attraverso:


    Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

    Da quanto emerso la banca aveva inviato un “Avviso di imminente registrazione dei dati in sistemi di informazioni creditizie” presso l’indirizzo fornito dal reclamante stesso e che tale comunicazione veniva restituita dal servizio postale con la causale “Indirizzo inesistente”, per cui è stato riscontrato il carattere di liceità della segnalazione in CRIF.

    Il mancato riscontro alla richiesta di accesso esercitata dall’interessato entro il termine di un mese prorogabile di ulteriori due, come prescritto dall’art. 12.3 GDPR, è stato l’aspetto che però ha comportato l’apertura dell’istruttoria con la contestazione della violazione degli artt. 12 e 15 GDPR.

    All’interno delle valutazioni il Garante ha avuto modo di precisare il carattere perentorio e tassativo del termine di un mese per rispondere ad una richiesta di esercizio dei diritti pur con l’indicazione dell’esigenza di un termine ulteriore fino a due mesi o dei motivi del diniego unitamente alla possibilità di proporre reclamo.

    La responsabilità in capo al titolare di agevolare l’esercizio dei diritti da parte dell’interessato (art. 12.2 GDPR) e di dotarsi di misure tecniche e organizzative adeguate a fornire una risposta tempestiva non può venire meno per effetto di un’istanza presentata dall’interessato “nell’ambito di una più ampia e articolata richiesta (…) che avrebbe impedito di fornire tempestivo riscontro”. Allo stesso modo, anche l’involontarietà del ritardo o l’assenza di un pregiudizio evidente o noto al titolare non possono essere argomenti che possono fondare un’eccezione valida a riguardo.

    Con specifico riferimento al diritto di accesso, inoltre, il Garante ha avut0 modo di precisare che l’aver già fornito precedentemente l’informativa non esonera in alcun modo dall’ottemperare a tale richiesta dal momento che l’esercizio del diritto consiste nell’ottenere innanzitutto la conferma di un trattamento dei propri dati personali e di conseguenza l’accesso a tali dati e alle relative informazioni, al fine di verificare “la correttezza e la completezza dei dati oggetto di trattamento”.

    Stefano Gazzella
    Privacy Officer e Data Protection Officer, specializzato in advisoring legale per la compliance dei processi in ambito ICT Law. Formatore e trainer per la data protection e la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Giornalista pubblicista, fa divulgazione su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.
    Visita il sito web dell'autore

    Articoli in evidenza

    DarkLab intervista HellCat Ransomware! La chiave è “assicurarsi che tutti comprendano la cybersecurity”

    Il ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...

    X/Twitter nel Caos! Un Threat Actors pubblica 2.8 Miliardi di Account Compromessi

    Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...

    Signal è abbastanza sicuro per la CIA e per il CISA. Lo è anche per te?

    Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...

    Addio alle password! La rivoluzione della sicurezza informatica è già iniziata

    Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...

    Alla scoperta della Pseudonimizzazione: Tra definizione e valore giuridico

    La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...