Un’università ha rimosso dal proprio sito i dati di un ex studente contenuti in un elenco elettorale, ma non aveva risposto alla sua richiesta di cancellazione. Aveva inoltre lasciato senza riscontro due successivi inviti del Garante, comunicando l’avvenuta rimozione soltanto dopo l’avvio del procedimento sanzionatorio.  L’Autorità ha accertato la violazione degli artt. 5, 12 e 17 GDPR e irrogato all’Università una sanzione di 4.000 euro.

La decisione mette in evidenza due adempimenti distinti. Il titolare deve valutare e, quando ne ricorrono i presupposti, eseguire la richiesta di cancellazione; deve anche comunicare all’interessato che cosa ha fatto, senza ingiustificato ritardo e comunque entro un mese dalla ricezione dell’istanza. Se non può accoglierla, deve spiegare il motivo e indicare la possibilità di rivolgersi al Garante o al giudice. Nei casi previsti dal GDPR, il termine può essere prorogato, ma l’interessato deve esserne informato entro il primo mese. La rimozione successiva dei dati non elimina la violazione già maturata per il mancato riscontro.

Per imprese e PA, il caso suggerisce di trattare ogni istanza privacy come un procedimento tracciabile: registrare la data di ricezione, assegnare un responsabile della risposta, verificare l’esito dell’intervento tecnico e conservare prova sia dell’azione compiuta sia della comunicazione inviata all’interessato. Occorre inoltre presidiare separatamente le richieste dell’Autorità: nel caso esaminato, la mancata collaborazione è stata considerata dal Garante nella determinazione della sanzione.