[doc. web n. 10211870]

Provvedimento del 4 dicembre 2025

Registro dei provvedimenti
n. 737 del 4 dicembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il Prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato dal sig. XX, ai sensi dell’art. 77 del Regolamento, con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Ferrovie dello Stato Italiane S.p.A.;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il Prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo presentato all’Autorità.

Con il reclamo presentato a questa Autorità in data 22/06/2022, il sig. XX lamentava una violazione della disciplina in materia di protezione dei dati personali da parte di Ferrovie dello Stato Italiane S.p.A. (di seguito “la Società”), rappresentando di aver svolto una procedura di selezione indetta dalla Società e di aver rivolto una richiesta di accesso ai dati, ai sensi dell’art. 15 del Regolamento, per conoscere la procedura utilizzata e i punteggi ottenuti nelle prove sostenute, ottenendo però un riscontro inidoneo.

L’Autorità, quindi, invitava il reclamante a regolarizzare il proprio reclamo, invitandolo a produrre la documentazione relativa all’istanza formulata e al riscontro fornito dal titolare del trattamento (nota del 24/11/2022).

Con la regolarizzazione del 25/11/2022, il reclamante forniva l’integrazione documentale richiesta, consistente nella corrispondenza intrattenuta con la Società, tra cui l’istanza, formulata in data 09/05/2022, con cui chiedeva di ricevere copia dei dati personali trattati nell’ambito della procedura di selezione a cui lo stesso aveva partecipato, e il riscontro fornito dalla Società il 01/06/2022.

In particolare, con la suddetta comunicazione, la Società informava l’istante di aver trattato i dati personali “per finalità di ricerca e selezione dei candidati”, più precisamente “nell’ambito del processo di selezione di Trenitalia S.p.A. per la ricerca di Capotreno e Customer Advisor per la Regione Calabria” e rappresentava che “i dati personali trattati per la suddetta finalità sono quelli contenuti nel curriculum vitae rilasciato in fase di registrazione sul portale fscareers.gruppofs.it e quelli relativi al processo di selezione al quale ha partecipato (…)” che vengono conservati per un periodo di 12 mesi.

Al reclamo, venivano inoltre allegate:

- l’e-mail del 01/06/2022 con cui l’istante, non soddisfatto del riscontro ricevuto, ribadiva la richiesta di ricevere copia dei dati trattati, compresi quelli attinenti al processo di selezione a cui aveva preso parte;

- la nota di risposta della Società, con cui la stessa si limitava a comunicare le categorie di dati oggetto di trattamento (nota del 13/06/2022);

- l’ulteriore richiesta di chiarimenti dell’istante e la relativa nota di riscontro della Società, con cui venivano trasmessi il curriculum vitae e gli altri dati conferiti dall’istante attraverso il portale fscareers.gruppofs.it (note del 13/06/2022 e dell’11/07/2022);

- in ultimo, l’e-mail del 12/07/2022, con cui l’istante faceva presente alla Società che non erano stati consegnati “i dati sui test di preselezione” né erano stati indicati i motivi dell’inottemperanza. A tale ultima richiesta, la Società non faceva pervenire ulteriori osservazioni.

2. L’istruttoria svolta dall’Ufficio.  

A fronte del reclamo e della documentazione prodotta in atti, l’Ufficio invitava la Società a fornire osservazioni in merito a quanto rappresentato nel reclamo e ad aderire alle richieste del reclamante di accedere ai dati relativi alle procedure selettive concluse (nota del 21/03/2023).

Con comunicazione datata 07/04/2023, inviata al reclamante e per conoscenza all’Autorità, la Società rappresentava, preliminarmente, di aver “soddisfatto più volte la richiesta (…) avanzata, da ultimo con mail del dicembre 2022, nonostante si trattasse di richieste ripetitive”.

La Società, inoltre, dichiarava che:

- “la richiesta reiterata dell’istante riguarda l’ottenimento dei test preselettivi che il candidato ha superato, i cui risultati sono stati peraltro già forniti. Non è possibile dare seguito alla consegna della batteria dei test, in quanto informazione riservata”;

- “le istanze di accesso sono state pienamente soddisfatte ancorché i dati personali richiesti sono accessibili accedendo alla propria area personale riservata della piattaforma”;

- “al candidato non sono stati forniti i report delle prove in quanto la trasmissione della batteria delle domande che in ogni caso non contengono dati personali esporrebbe le società del Gruppo FS alla divulgazione di documentazione riservata e dunque al rischio di inficiare le prove somministrate ai candidati e a ritardi nella conclusione degli iter selettivi in corso e in programma”;

- “In data 17/11/2022, il Sig. XX avanzava una richiesta di accesso ai dati personali nei confronti del sub-responsabile di FS, (…), in relazione alla sua candidatura, effettuata in data 14 novembre 2022, per una ulteriore posizione lavorativa in una Società del Gruppo FS, a cui FS, a sua volta interpellato dal sub-responsabile, rispondeva in data 02/12/2022 trasmettendo copia dei dati personali richiesti”.

Alla luce del riscontro fornito dalla Società, il reclamante faceva pervenire le proprie osservazioni, con le quali rilevava che, contrariamente a quanto rappresentato dal titolare, l’oggetto dell’istanza era limitato a conoscere e a ricevere copia dei propri dati personali (comprensivi dei dati raccolti durante i test selettivi) e non la batteria delle domande sottoposte durante la procedura di selezione (nota dell’08/04/2023).

La Società, pertanto, rispondeva, con comunicazione dell’11/07/2023, fornendo i punteggi dei test preselettivi e gli esiti finali delle prove sostenute dall’istante, nell’ambito delle due procedure di selezione a cui aveva partecipato.

L’Ufficio, sulla base delle dichiarazioni rese e della documentazione acquisita, notificava alla Società l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento con la nota del 04/10/2023.

La Società, in data 03/11/2023, inviava propri scritti difensivi che qui integralmente si richiamano, ai sensi dell’art. 18 della legge n. 689/1981 e dell’art. 166, comma 6, del Codice, con cui ricostruiva preliminarmente la sequenza cronologica delle richieste avanzate dall’interessato e dei riscontri resi dalla Società, precisando che:

- l’istante “ha sempre ottenuto nei termini risposta alle sue richieste di accesso ai propri dati personali, richieste che lo stesso interessato ha di volta in volta riformulato e modificato nel tempo”;

- “La Società, in spirito di massima collaborazione ed attenzione alla più corretta gestione dell’esercizio dei diritti degli interessati, in considerazione della confusione generata dalla reiterata sequenza delle mail dell’istante, pendente altresì il procedimento attivato presso l’Autorità, provvedeva d’iniziativa in data 11/07/2023, ad inviare all’interessato, e per conoscenza l’Autorità, un documento di riepilogo dei processi selettivi ai quali ha partecipato l’interessato”.

Sotto altro profilo, la Società osservava che:

- “nelle more della trattazione dell’istanza presentata alla Società il 13/06/2022, l’istante avanzava, in data 22/6/2022, il reclamo in trattazione all’Autorità Garante e dunque prima che fosse eventualmente spirato il termine di 30 giorni ex art. 12 co. 3 GDPR (…). Come noto, e come approfondiremo in seguito, il reclamo è inammissibile”;

- inoltre, “questa Società non ha ricevuto e quindi non dispone degli eventuali atti di regolarizzazione richiesti dall’Autorità e forniti dall’interessato ex art. 8 “Reclami” del Regolamento n. 1/2019”.

Oltre alle memorie difensive di cui sopra, la Società presentava un’istanza di accesso, ai sensi degli artt. 22 e ss. della legge n. 241/1990, e chiedeva di poter essere ascoltata dall’Autorità in merito alle violazioni notificate.

Nel corso dell’audizione, svoltasi il 15/10/2025, la Società produceva un’integrazione documentale, osservando che:

- “questa Società non ha ricevuto né è stata messa a conoscenza degli atti di regolarizzazione richiesti dall’Autorità e forniti dall’interessato ex art. 8 “Reclami” del Regolamento n. 1/2019, compromettendone così il diritto di difesa per difetto del contraddittorio. Infatti, soltanto a seguito dell’accesso agli atti, FS ha potuto apprendere i contenuti oggetto della regolarizzazione, sulla base dei quali è stato avviato il procedimento nei confronti della stessa;

- “nelle more del processo di regolarizzazione richiesto dal Garante, FS stava provvedendo a riscontrare nei termini previsti ex lege, come in atti documentato, all’ennesima istanza avanzata dall’interessato. In spirito di massima collaborazione ed attenzione alla più corretta gestione dell’esercizio dei diritti degli interessati, qualora il Garante avesse tempestivamente portato a conoscenza di FS il reclamo regolarizzato, la Società avrebbe potuto opporre le proprie deduzioni in contraddittorio”.

3. L’esito dell’attività istruttoria.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice (“Falsità nella dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), risulta che la Società, in qualità di titolare del trattamento, ha effettuato alcune operazioni di trattamento, riferite al reclamante, non conformi alla disciplina in materia di protezione dei dati personali.

In particolare, è emerso che la Società, a fronte dell’istanza di esercizio dei diritti formulata dal reclamante in data 09/05/2022 e sollecitata con diverse comunicazioni (si vedano le e-mail dell’01 e del 13 giugno 2022, dell’11 e del 12 luglio 2022 e del 31 maggio 2023), ha fornito all’interessato dei riscontri parziali e inidonei, producendo, solo con la nota dell’11/07/2023, l’ulteriore documentazione richiesta dall’istante.

Tenuto conto delle argomentazioni addotte dalla Società nei propri scritti difensivi, in particolare della circostanza secondo cui l’istante ha modificato più volte nel tempo il contenuto dell’istanza, risulta preminente esaminare l’oggetto della richiesta di accesso ai dati, formulata dal reclamante in data 09/05/2022.

Tale istanza, formulata utilizzando il modulo predisposto dall’Autorità, era volta, in primo luogo, ad avere conferma dell’esistenza di un trattamento dei dati personali che lo riguardavano, nonché ad ottenere l’accesso e una copia degli stessi e a ricevere le ulteriori informazioni indicate alle lettere a) - h) dell’art. 15 del Regolamento.

Nel primo riscontro del 01/06/2022, la Società ha dato conferma del trattamento in corso, effettuato nell’ambito della procedura di selezione a cui il reclamante aveva partecipato e ha informato l’istante delle finalità del trattamento (“di ricerca e selezione del personale”), delle società del gruppo autorizzate ad accedere ai dati (“tutte le Società del Gruppo FS Italiane possono accedere al curriculum vitae dei candidati registrati sul portale”), dei tempi di conservazione dei dati stessi (“conservati per un periodo massimo di 12 mesi dalla chiusura della campagna di selezione in corso”) e soprattutto della tipologia di dati trattati, ovvero “quelli contenuti nel curriculum vitae rilasciato in fase di registrazione sul portale …” e “ quelli relativi al processo di selezione”.

La Società, pur dando atto dell’esistenza di un trattamento dei dati personali del reclamante, non forniva però, come richiesto dall’istante, copia dei dati stessi, invitando il reclamante a consultare l’informativa sulla protezione dei dati personali per ulteriori informazioni.

L’istante, avuta conferma del trattamento dei suoi dati personali, ne sollecitava l’accesso, conformemente a quanto previsto dalla norma, (si vedano l’e-mail del 01/06/2022 in cui il reclamante scrive: “Non mi avete fornito copia dei dati trattati nonostante nella richiesta di accesso ai dati fosse richiesta una copia degli stessi. Vorrei che mi forniste copia di tutti i dati riguardanti il processo di selezione, nulla escluso” e l’email del 13/06/2022 in cui scrive: “Non voglio l’elenco dei dati, ma una copia degli stessi”).

Lo scambio di e-mail intercorso tra le parti, conferma che il titolare del trattamento avesse avuto sicuramente modo di comprendere che i dati a cui l’istante chiedeva di accedere erano, non solo quelli da lui conferiti spontaneamente in occasione della selezione (che comunque venivano forniti solo con l’e-mail dell’11/07/2022 dopo due solleciti dell’istante), ma anche quelli relativi al processo di selezione stesso.

D’altra parte, la Società, già nel primo riscontro, confermava che i dati oggetto di trattamento erano anche “quelli relativi al processo di selezione”, senza però fornirne una copia.

Con l’ultima e-mail del 12/07/2022, il reclamante, dopo aver ricevuto copia dei dati personali da lui stesso conferiti tramite la piattaforma di recruiting, ribadiva ancora una volta la sua richiesta (“Non avete ancora fornito i dati sul test di preselezione”), chiedendo le ragioni del diniego (“Se non potete fornirmeli, vi avevo chiesto di indicare quantomeno perché non potete”). Si fa presente che a tale ultima richiesta, la Società non faceva pervenire alcun riscontro.

Si evidenzia che l’istruttoria è stata avviata solo dopo la regolarizzazione del reclamo (avvenuta il 25/11/2022), allorquando il reclamante, su espresso invito dell’Autorità, ha trasmesso tutta la documentazione necessaria a comprovare l’effettiva ricezione dell’istanza da parte del titolare e a verificare la rispondenza del riscontro della Società, rispetto alle specifiche richieste dell’interessato.  

Tutta la documentazione trasmessa dal reclamante (reclamo, istanza di esercizio dei diritti, riscontro del titolare, e tutte le e-mail intercorse tra le parti), sono state trasmesse alla Società in uno con l’invito ad aderire, formulato con la nota del 21/03/2023, al fine di consentirle di disporre degli elementi necessari a formulare le proprie osservazioni, nel rispetto dei criteri di semplicità, di celerità e di economicità che contraddistinguono i procedimenti dinanzi all’Autorità (art. 9 del regolamento n. 1/2019 “concernente le procedure interne aventi rilevanza esterna finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante”).

Le argomentazioni addotte dalla Società, in base alle quali sarebbe stato compromesso il diritto di difesa per la mancata trasmissione della nota di regolarizzazione e degli ulteriori documenti trasmessi dal reclamante nel corso dell’istruttoria (in particolare la copia della batteria delle domande/test somministrati durante le procedure di selezione), non possono trovare accoglimento in quanto si tratta di documentazione non pertinente ai fini della valutazione della condotta illecita.

Infatti, posto che la nota di regolarizzazione in sé non conteneva elementi diversi rispetto a quanto rappresentato nel reclamo iniziale, la valutazione circa l’idoneità o meno del riscontro all’istanza di esercizio dei diritti è stata fatta unicamente tenendo conto della rispondenza del riscontro alle richieste formulate, non rilevando la circostanza che il reclamante fosse in possesso della batteria delle domande.

In ogni caso, deve osservarsi che il riscontro alle istanze del reclamante, comprensivo delle informazioni sui punteggi dei test svolti dall’interessato è pervenuto solo in data 11 luglio 2023, a distanza di circa 14 mesi dalla presentazione dell’istanza e solo a seguito di un ulteriore sollecito del reclamante inviato il 31/05/2023 in cui lo stesso sottolineava l’inerzia del titolare a fornire quanto legittimamente richiesto.

Per quanto tutto sopra esposto, si deve quindi ritenere che la condotta della Società è stata posta in essere in violazione delle disposizioni di cui agli artt. 12, par. 3, e 15 del Regolamento.

4. Conclusioni: illiceità dei trattamenti effettuati. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Alla luce delle valutazioni che precedono, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗  non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentirne l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

[OMISSIS]

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si prende atto della circostanza che la parte ha provveduto a consegnare all’istante i dati e le informazioni personali oggetto dell’istanza di esercizio dei diritti.

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato da Ferrovie dello Stato Italiane S.p.A., con sede in Roma, Piazza della Croce Rossa n. 1, P.I. 06359501001, nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3, e 15 del Regolamento;

[OMISSIS]

DISPONE

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento;

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 4 dicembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori