[doc. web n. 10297109]

Provvedimento del 6 agosto 2026

Registro dei provvedimenti
n. 587 del 6 agosto 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo e l’avvio del procedimento

1.1. Con il reclamo presentato in data 8 gennaio 2025, il sig. XX lamentava di non aver ricevuto riscontro alla richiesta di accesso (del 29 novembre 2024) ai propri dati personali detenuti da Leontinoi Società Cooperativa Sociale, Cortile Trani 6, Lentini (SR), P.IVA 02000830899 (di seguito, “la Cooperativa), anche in relazione a quelli contenuti in un documento, definito dal reclamante “atto notorio”, dallo stesso sottoscritto in data 26 novembre 2024. 

1.2. Con la nota dell’8 gennaio 2026, l’Ufficio invitava la Cooperativa ad aderire all’istanza di esercizio dei diritti presentata dal reclamante. In relazione a tale richiesta, che risulta essere stata

regolarmente ricevuta, il titolare del trattamento non faceva pervenire alcun riscontro all’Autorità.

2. Il quadro giuridico del trattamento effettuato e l’esito dell’istruttoria

2.1. Ogni trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento (UE) 2016/679 del 27 aprile 2016 (di seguito, il “Regolamento”) e del d.lgs. n. 196 del 30 giugno 2003 (Codice in materia di protezione dei dati personali – di seguito, il “Codice”). 
In particolare, il trattamento di dati personali deve avvenire nel rispetto dei principi di liceità, di tal che deve essere sorretto da una idonea base giuridica (art. 5, par. 1, lett. a), 6 del Regolamento), e di correttezza (art. 5, par. 1, lett. a) del Regolamento).

2.2. Al riguardo, si fa presente che gli artt. da 15 a 22 del Regolamento attribuiscono all’interessato il diritto di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguarda o di opporsi al loro trattamento, nonché il diritto alla portabilità dei dati, qualora ne ricorrano i presupposti.
In particolare, con riferimento alla vigente cornice normativa, si osserva che:

a. ai sensi dell’art. 15, par. 1, del Regolamento UE 2016/679 (di seguito RGPD), “l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso di ottenere l’accesso ai dati personali…”;

b. l’art. 12, par. 3, RGPD prevede che “il titolare del trattamento [debba fornire] all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa” e che, se non ottempera alla richiesta dell’interessato, il titolare del trattamento debba informare “l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, RGPD). Se le richieste dell'interessato “sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può […] b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta” (art. 12, par. 5, RGPD); 

c. il titolare è altresì tenuto:

i. ad adottare “misure appropriate per fornire all'interessato tutte le […] comunicazioni di cui agli articoli da 15 a 22 […]” (art. 12, par. 1, RGPD) e, 

ii.  ove richiesto, è altresì obbligato a cooperare con l’Autorità di controllo (art. 31 RGPD).

2.3. Nella vicenda in esame viene anche in rilievo l’art. 31 del Regolamento il quale prevede, in termini generali, che il titolare del trattamento, ove (come nel caso di specie) richiesto, sia obbligato a cooperare con l’Autorità di controllo. Tale disposizione si raccorda direttamente con la previsione contenuta nell’art. 157 del Codice secondo il quale, “nell’ambito dei poteri di cui all'articolo 58 del Regolamento e per l’espletamento dei propri compiti, il Garante può richiedere al titolare […] di fornire informazioni e di esibire documenti […]”.

Al riguardo, deve essere rilevato che il titolare del trattamento, a fronte della richiesta formulata dall’Ufficio ai sensi del 157 del Codice, non ha fornito alcun riscontro, venendo così meno all’obbligo di cooperazione previsto dall’art. 31 del Regolamento e dell’art. 157 del Codice (in tal senso v. anche Cass. 12 giugno 2018, n. 15332).

2.4. Sulla scorta di tali considerazioni e degli elementi in atti, l’Ufficio, con la comunicazione del 30 aprile 2026, che pure risulta essere stata regolarmente ricevuta, notificava al titolare del trattamento l’illiceità del trattamento posto in essere in violazione degli articoli 12, 15 e 31, comunicando altresì, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti correttivi di cui all’articolo 58, par. 2, del Regolamento e, ove applicabili, delle sanzioni di cui all’articolo 83 del Regolamento.

Anche in relazione a tale notificazione non seguiva riscontro alcuno da parte della titolare del trattamento.

3. Illiceità del trattamento

3.1. Alla luce di quanto precede, il Garante rileva che il trattamento dei dati personali effettuato nel caso di specie non si è informato al quadro regolatorio sopra richiamato. 

Risulta, infatti, accertato che codesta Cooperativa non ha dato riscontro alla richiesta di accesso ai dati personali, formulata dal reclamante ai sensi dell’art. 15 del RGPD, in violazione dell’art. 12, par. 3, del RGPD, né ha informato l’istante, entro il termine di un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale, in violazione dell’art. 12, par. 4, RGPD. 

Senza effetto è stato altresì l’invito a fornire riscontro all’interessato trasmesso dall’Ufficio con la richiamata nota dell’8 gennaio 2026.

La violazione delle disposizioni sopra richiamate può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, RGPD.

3.2. In pari tempo, come sopra rappresentato, nel caso di specie risulta altresì violato l’obbligo di cooperazione con il Garante che, in base all’art. 31 del Regolamento, grava in capo del titolare del trattamento il quale non risulta aver dato riscontro alla richiesta di informazioni formulata ai sensi dell’art. 157 del Codice.

4. Ordinanza di ingiunzione

4.1. Le violazioni accertate nei termini di cui in motivazione non possono essere considerate di rilevanza “minore”, tenuto conto della natura e della gravità delle stesse nonché del grado di responsabilità in capo al titolare del trattamento (v. cons. 148 del Regolamento).

Pertanto, accertata l’illiceità delle condotte come sopra descritte, deve adottarsi un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice per l’applicazione di una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, l. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato dal titolare del trattamento.

4.2. Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), nel caso di specie sono state tenute in considerazione le circostanze sotto riportate:

a. con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento, nonché la responsabilità connessa all’inadempimento dell’obbligo di fornire un riscontro alla richiesta dell’interessato; 

b. quale fattore aggravante, la mancata cooperazione prestata rispetto all’attività di accertamento posta in essere dall’Autorità, obbligo al quale è tenuto ogni titolare del trattamento;

c. quale fattore attenuante, l’assenza di precedenti specifici a carico del titolare del trattamento relativi a violazioni della disciplina in materia di protezione dei dati personali e la natura sociale dell’attività posta in essere dalla cooperativa.

4.3. In ragione dei suddetti elementi, valutati nel loro complesso, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1000,00 (mille) per la violazione degli artt. 5, par. 1, lett. a), c), 6 del Regolamento e 157 del Codice.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare del trattamento individuato in premessa (al punto 1) con violazione del principio di correttezza e di liceità nel trattamento di cui agli artt. 5, par. 1, lett. a), nonché 6 del Regolamento;

ORDINA

al titolare del trattamento di pagare la somma di euro 1000,00 (mille) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

a. ai sensi degli artt. 58, par. 2, lett. i), del Regolamento, al medesimo titolare del trattamento di pagare la somma di euro 1000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Al riguardo si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

b. ai sensi degli artt. 58, par. 2, lett. d), del Regolamento, di conformare il trattamento dei dati personali al Regolamento entro trenta giorni dalla notifica del presente provvedimento, provvedendo ad aderire alla richiesta di accesso ai dati personali formulata dal reclamante, di ciò dando comunicazione entro lo stesso termine al Garante.
 

DISPONE

a. ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, omettendo il nome del reclamante;

b. ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 6 agosto 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi