L'Autorità Garante spagnola per la protezione dei dati personali (“AEPD”) ha sanzionato con una multa da € 25.000,00 la società Glovoapp23 SL, titolare (in territorio spagnolo) dell'omonima app di consegne a domicilio diffusissima anche in Italia ( di seguito l'“App”), in forza di una constatazione dell'art. 37 del Regolamento UE 679/2016 (“GDPR”) concernente la designazione del Data Protection Officer (“DPO”).
In dettaglio, l'indagine dell'AEPD – conclusasi con l'applicazione di una sanzione per mancata nomina del DPO - ha preso il proprio avvio a seguito della segnalazione di più interessati che ne reclamavano l'assenza, all'interno dell'App , dei riferimenti del DPO per la ricezione delle istanze relative alla protezione dei dati personali.
A seguito della successiva richiesta di chiarimenti formulata dall'Autorità, la società dichiarava di non rientrare nel novero dei titolari obbligatoriamente tenuti alla nomina di un DPO e, in più, dava atto della sussistenza di un apposito comitato rivolto a condurre le attività che la normativa riserva a tale figura (rinvenibili all'art. 39 GDPR).
Tale riscontro comportava quindi l'avvio di un procedimento sanzionatorio all'esito del quale l'AEPD ha ritenuto non condivisibili le argomentazioni difensive promosse, al contrario evidenziando come nel caso di specie il titolare svolga “ trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala ”. Tale circostanza, come noto, comporta, ai sensi dell'art. 37, par. 1, lett. b) GDPR, l'obbligo per il titolare di nominare un DPO .
A tanto si aggiunga che l'AEPD, nell'ambito dei propri poteri sanzionatori, rilevava due fattori aggravanti: i) l'elevato numero di interessati; ii) la sussistenza di dati di profilazione nell'ambito dell'attività di trattamento svolta dal titolare.
Le circostanze esposte comportavano, quindi, l'applicazione di una sanzione pari ad € 25.000,00 nei confronti della società Glovoapp23 SL
