[doc. web n. 10308344]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 752 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato all’Autorità il sig. XX ha rappresentato che, a seguito della pubblicazione, da parte dell’Università Mediterranea di Reggio Calabria (di seguito, l’Università), di “un elenco con l’elettorato attivo e passivo per le elezioni delle rappresentanze studentesche in seno al consiglio nazionale degli studenti universitari, […] avvenute nel 2016”, ha presentato, in data XX, all’Università una richiesta di esercizio dei diritti di cui agli artt. da 15 a 22 del Regolamento (UE) 2016/679 chiedendo, in particolare, la cancellazione dei propri dati personali pubblicati al link
 https://www.unirc.it/documentazione/media/files/comunicazione/Articoli/2016/160315_elezionicnsu/Elenco_studenti_CdL.pdf, e che l’Ateneo non ha fornito riscontro.

2. L’attività istruttoria.

Con nota del XX (prot. n. XX), l’Autorità ha invitato l’Università, quale titolare del trattamento dei dati oggetto dell’istanza di esercizio dei diritti, ai sensi dell’art. 15 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (doc. web n. 9107633), a fornire riscontro alle richieste formulate dall’interessato entro e non oltre 20 giorni dal ricevimento della nota stessa, inviando contestualmente copia di tale riscontro anche all’Autorità.

Non avendo l’Ateneo fatto pervenire risposta né all’Autorità né al reclamante, l’Ufficio ha invitato nuovamente l’Università, con nota del XX (prot. n. XX), a fornire riscontro a quanto richiesto entro 10 giorni dal ricevimento della nota stessa.

Anche a seguito di tale richiesta non è pervenuto alcun riscontro.

L’Ufficio ha notificato, con nota del XX (prot. n. XX), all’Università, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per non aver fornito riscontro al reclamante, entro il termine previsto dall’art. 12, par. 3, del Regolamento, alla richiesta di cancellazione dei propri dati personali, formulata dall’interessato in data XX e non aver rappresentato i motivi di tale inottemperanza. Inoltre, l’Università non ha fornito riscontro all’invito ad aderire formulato dall’Autorità con le predette note del XX (prot. n. XX) e del XX (prot. n. XX).

Pertanto l’Ufficio ha invitato il predetto titolare a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

L’Università ha fatto pervenire le proprie memorie difensive, con nota del XX (prot. n. XX) rappresentando, in particolare, di avere “già provveduto a dare seguito alla segnalazione del sig. XX, rimuovendo i dati personali che risultavano pubblicati al link https://www.unirc.it/documentazione/media/files/comunicazione/Articoli/2016/160315_elezionicnsu/Elenco_studenti_CdL.pdf.”;

3. Esito dell’attività istruttoria.

3.1 Normativa applicabile

Il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), e del d.lgs. n. 196 del 30 giugno 2003 - Codice in materia di protezione dei dati personali, (di seguito, il “Codice”). 

In ogni caso, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quello di “liceità, correttezza e trasparenza” in base al quale dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (art. 5, par. 1, lett. a) del Regolamento).    

In particolare, il Regolamento prevede che il titolare del trattamento deve adottare “misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 […] relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”, e deve fornire all'interessato “le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 del Regolamento senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa” (art. 12, parr. 1 e 3). 

Se non ottempera alla richiesta dell’interessato, il titolare del trattamento deve informare l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (art. 12, par. 4). 

Ne deriva che il titolare del trattamento, in ottemperanza agli obblighi di trasparenza, è tenuto a fornire un riscontro completo, esauriente e facilmente comprensibile entro un mese dal ricevimento dell’istanza, anche nell’ipotesi in cui tale istanza nel merito non possa essere accolta. 

Inoltre, ai sensi dell’art. 17 del Regolamento, “L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento; c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1”, salvo che ricorrano le  condizioni indicate dal paragrafo 3. 

3.2. Il mancato riscontro all’istanza di cancellazione dei dati del reclamante.

Da quanto emerge dal reclamo in oggetto, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, risulta che il reclamante, in data XX, ha inviato all’Università una richiesta di cancellazione dei propri dati personali pubblicati al link https://www.unirc.it/documentazione/media/files/comunicazione/Articoli/2016/160315_elezionicnsu/Elenco_studenti_CdL.pdf, e che l’Università non ha fornito riscontro, entro il termine previsto dall’art. 12, par. 3, del Regolamento, a tale richiesta né ha rappresentato i motivi di tale inottemperanza. 

Emerge inoltre che l’Università non ha fornito riscontro all’invito ad aderire formulato dall’Autorità con le predette note del XX (prot. n. XX) e del XX (prot. n. XX) e ha comunicato di aver provveduto a cancellare i dati del reclamante solo a seguito della notifica della violazione di cui all’art. 166, comma 5 del d.lgs. n. 196 del 30 giugno 2003 (Codice in materia di protezione dei dati personali) e dell’art. 58, paragrafo 1, lett. d) del Regolamento (UE) 2016/679, inviata dal Garante in data XX. 

L’Università non ha inoltre fornito notizie in merito alla data in cui la cancellazione dei dati personali oggetto di reclamo risulta avvenuta.

Al riguardo, come sopra rappresentato, si osserva che l’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei propri dati personali che lo riguardano senza ingiustificato ritardo nei casi previsti dall’art. 17 del Regolamento.

Si osserva inoltre che il titolare del trattamento è tenuto ad agevolare l’esercizio dei diritti da parte dell’interessato nonché, in ogni caso, a fornire esplicito riscontro alla richiesta formulata, a prescindere dalla fondatezza o meno della stessa, senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal suo ricevimento.

Il menzionato termine può essere prorogato dal titolare di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste, fermo restando il diritto dell’interessato ad essere informato di tale proroga e dei motivi del ritardo entro un mese dal ricevimento della richiesta (art. 12, parr. 2 e 3, del Regolamento). Inoltre, se il titolare del trattamento non ottempera alla richiesta dell'interessato, lo informa, senza ritardo e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (art. 12, par. 4, del Regolamento).

Alla luce delle considerazioni che precedono, deve concludersi che l’Università non ha fornito riscontro all’istanza di esercizio dei diritti dell’interessato entro il termine massimo previsto del Regolamento, omettendo di informare lo stesso dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale e ha provveduto tardivamente, ,  a cancellare i dati di quest’ultimo, in violazione degli artt. 5, par. 1, lett. a), 12, parr. 3 e 4 e 17 del Regolamento.
    
4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dall’Università, in violazione degli artt. 5, par. 1, lett. a), 12, parr. 3 e 4 e 17 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

Considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, avendo l’Università rimosso il link oggetto del reclamo, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni sopra citate da parte dell’Università ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni accertate, dell’art. 5, par. 1, lett. a) e degli artt. 12, parr. 3 e 4 e 17 del Regolamento, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- con specifico riguardo alla natura, alla gravità e alla durata della violazione, occorre considerare che la fattispecie ha riguardato un solo interessato e si è protratta dal 31 gennaio 2024, presumibilmente fino alla data del 6 maggio 2025, data in cui l’Università ha comunicato di aver “già provveduto a dare seguito alla segnalazione […], rimuovendo i dati personali che risultavano pubblicati”, senza specificare opportunamente la data dell’effettiva cancellazione dei dati (cfr. art. 83, par. 2, lett. a), del Regolamento); 

- il titolare del trattamento non ha prestato collaborazione all’Autorità nel corso dell’istruttoria, non avendo fornito riscontro all’invito ad aderire formulato dall’Autorità con le note del XX (prot. n. XX) e del XX (prot. n. XX) (art. 83, par. 2, lett. f) del Regolamento); 

- la pubblicazione non ha riguardato categorie particolari di dati (art.83, par. 2, lett. g) del Regolamento).

Alla luce di tale specifica circostanza, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

- il titolare ha provveduto a cancellare il link https://www.unirc.it/documentazione/media/files/comunicazione/Articoli/2016/160315_elezionicnsu/Elenco_studenti_CdL.pdf, oggetto di reclamo (art. 83, par. 2, lett. c), del Regolamento);

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila/00) per la violazione in violazione degli artt. 5, par. 1, lett. a), 12, parr. 3 e 4 e 17 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante. 

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il mancato riscontro all’interessato e agli inviti ad aderire dell’Autorità e la tardiva cancellazione dei dati personali del reclamante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, l’illiceità della condotta tenuta dall’Università degli Studi Mediterranea di Reggio Calabria, con sede in via dell’Università, 25 - 89124 Reggio Calabria - C.F. 80006510806 - descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a), 12, parr. 3 e 4 e 17 del Regolamento;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Università degli Studi Mediterranea di Reggio Calabria, con sede in via dell’Università, 25 - 89124 Reggio Calabria - C.F. 80006510806, di pagare la complessiva somma di euro 4.000,00 (quattromila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

all’Università degli Studi Mediterranea di Reggio Calabria:

- di pagare la complessiva somma di euro 4.000,00 (quattromila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori