[doc. web n. 10269338]

Provvedimento del 18 giugno 2026

Registro dei provvedimenti
n. 461 del 18 giugno 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e il dott. Luigi Montuori segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dalla sig.ra XX ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Union Facility s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo nei confronti della Società e l’avvio dell’attività istruttoria.

Con il reclamo presentato in data 04/10/2023, regolarizzato il 30/11/2023, la sig.ra XX segnalava a questa Autorità di aver presentato un’istanza di esercizio dei diritti, ai sensi dell’art. 15 del Regolamento, nei confronti di Union Facility s.r.l. (di seguito “la Società”) al fine di ottenere dalla stessa, ex datore di lavoro, copia dei dati personali dalla stessa trattati nell’ambito del rapporto di lavoro, con particolare riferimento agli attestati relativi ai corsi di formazione svolti.

L’istanza di esercizio dei diritti risultava regolarmente notificata, all’indirizzo pec della Società, il 28/07/2023, ma non riceveva alcun riscontro, nel termine previsto dall’art. 12, par. 3, del Regolamento.

Pertanto, l’Ufficio avviava l’istruttoria nei confronti della Società (nota del 26/03/2024), a cui la stessa forniva riscontro, con comunicazione datata 05/04/2024.

Nel suddetto riscontro, la Società trasmetteva alla reclamante, e per conoscenza all’Autorità, l’attestato di formazione conseguito dalla reclamante in data 21/03/2023, rappresentando in ogni caso che “dalla data di cessazione del rapporto di lavoro, la scrivente non è più responsabile di dati personali della predetta che sono stati impiegati esclusivamente per gli adempimenti necessari e conseguenti al rapporto di lavoro” e che “il venir mento dell’impiego dei dati personali della sig.ra XX esonera la scrivente dalle incombenze previste per il caso di trattamento (…)”.

A fronte della genericità del riscontro reso, l’Autorità invitava la reclamante a fornire osservazioni al riguardo; con nota del 31/08/2024, la reclamante confermava l’idoneità del riscontro.

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Alla luce di quanto emergeva dall’istruttoria, l’Ufficio provvedeva a notificare alla Società, con nota del 18/10/2024, l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento, in considerazione del ritardo con cui la stessa aveva fornito riscontro all’istanza di esercizio dei diritti.

La Società, in data 14/11/2024, inviava le proprie memorie difensive, ai sensi dell’art. 18 della legge n. 689/1981, con e-mail del 12/07/2024, osservando che:

- “Successivamente alla cessazione del rapporto lavorativo, la Società riceveva la richiesta formulata [dalla reclamante], e ritenuto che la reclamante fosse interessata alla sola consegna dell’attestato formativo …, l’Amministratore unico reputava che la stessa, avendo ad oggetto uno specifico documento (e non dati personali) non fosse da qualificare come richiesta di accesso ex art. 15 GDPR e pertanto non fosse soggetta all’obbligo di riscontro ex art. 12, par. 3, del GDPR”;

- “Successivamente alla notifica dell’atto di contestazione, avvenuta il 18 ottobre 2024, la Società, preso atto dell’obiettiva complessità della normativa, decideva di dotarsi di un’apposita procedura approvata dall’amministratore unico e destinata a trovare immediata applicazione, ai fini di migliorare i processi interni di gestione delle istanze relative ai diritti stabiliti dal GDPR (cfr. la procedura allegata alla presente memoria)”;

- “si rileva come la presunta violazione oggetto del presente procedimento sia stata contestata alla Società soltanto con comunicazione del 18 ottobre 2024 e cioè ben oltre il termine all’uopo fissato dall’Autorità con il Regolamento n. 2/2019 (…)”;

- “appare evidente che, nel caso di specie, l’omesso riscontro alla richiesta di accesso ai dati personali formulata dalla [reclamante] nei termini fissati dall’art. 12, par. 3, del GDPR è stato confermato, ai fini del decorso dei termini ora richiamati, già in data 5 aprile 2024, allorquando la Società riscontrava, nei termini riportati nell’atto di contestazione, la (unica) richiesta rivoltale dall’Autorità”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese all’Autorità nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), è emerso che la Società, in qualità di titolare del trattamento, ha effettuato operazioni di trattamento riferite alla reclamante che non risultano conformi alla disciplina in materia di protezione dei dati personali.

In particolare, in base agli elementi acquisiti nel corso dell’attività istruttoria, nonché delle successive valutazioni svolte dall’Ufficio, risulta accertato che, a fronte dell’istanza di esercizio dei diritti avanzata dalla reclamante in data 28/07/2023, la Società non abbia fornito alcun riscontro nei termini indicati dalla normativa, provvedendo a dare un proprio riscontro con contestuale consegna di un solo documento all’istante, solo a seguito dell’avvio dell’istruttoria da parte dell’Autorità.

Rispetto alle argomentazioni che sono state formulate negli scritti difensivi, occorre preliminarmente considerare come la richiesta, formulata dalla reclamante nei confronti della Società, titolare del trattamento dei dati trattati nel corso del rapporto di lavoro, richiamasse espressamente la disposizione di cui all’art. 15 del Regolamento (in oggetto “Richiesta accesso ai dati ai sensi dell’art. 15 Reg. (UE) 679/2016”) e contenesse la richiesta di conoscere tutte le informazioni indicate nel primo paragrafo del citato art. 15 (quindi le finalità del trattamento, le categorie di dati trattati, i destinatari a cui tali dati sono stati o saranno comunicati e il periodo di conservazione previsto), nonché di riceverne copia ai sensi dell’art. 15, par. 3, del medesimo Regolamento.

Pertanto, sotto questo profilo non può condividersi l’argomentazione addotta dalla parte secondo cui tale richiesta difficilmente poteva qualificarsi quale istanza di esercizio dei diritti, perché l’intento della reclamante era quello di ottenere documentazione attestante lo svolgimento di un corso di formazione, ipotesi non rientrante nella categoria dei dati personali oggetto di un’istanza ex art. 15 del Regolamento. 

Premesso che, diversamente da quanto ritenuto, gli attestati ai corsi di formazione conseguiti dal lavoratore contengono dati personali riferiti allo stesso, rispetto ai quali quindi l’interessato ha diritto di accedere ai sensi dell’art. 15 del Regolamento (v. provvedimento del 24/04/2024, n. 246, doc. web n. 10021452; provvedimento dell’11/09/2025 n. 571, doc web n. 10183903), si evidenzia come in ogni caso la richiesta della reclamante fosse stata invece formulata in modo da conoscere e ricevere copia di tutti i dati trattati dalla Società nel corso del rapporto di lavoro e le informazioni relative al trattamento effettuato (come si evince chiaramente dall’istanza la cui copia è stata prodotta in atti). Nell’istanza, infatti, non vi è nessun riferimento al “documento attestato di formazione” sulla base del quale la Società ha ritenuto di non qualificare la richiesta alla luce delle disposizioni in materia di protezione dei dati personali.

Né può condividersi quanto sostenuto dalla Società, nel riscontro reso nel corso dell’istruttoria (nota del 05/04/2024), laddove ha dichiarato di non essere tenuta ad adempiere alle richieste intervenute successivamente alla cessazione del rapporto di lavoro.

Considerate, quindi, l’oggetto particolarmente ampio della richiesta formulata dall’istante e il riscontro della Società nei termini sopra riportati, con la consegna di un solo attestato di formazione, l’Ufficio ha ritenuto necessario chiedere all’interessata se il riscontro fornito dal titolare fosse idoneo e rispondente alle richieste formulate oppure se bisognasse chiedere ulteriori informazioni.

Sulla base della risposta della reclamante, pervenuta il 31/08/2024, l’Ufficio ha svolto le opportune valutazioni in ordine alle violazioni da notificare alla parte, individuate in quelle degli artt. 12, par. 3, e 15 del Regolamento.

Ciò tenuto conto del fatto che, in base alla disposizione di cui all’art. 12, par. 3, del Regolamento, “Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 12 a 15 senza ingiustificato ritardo e, comunque, al più tardi, entro un mese dal ricevimento della richiesta stessa”.

Pertanto, deve rigettarsi l’assunto della Società secondo cui il termine di 120 giorni per la notifica delle violazioni non sarebbe stato rispettato perché decorrente dalla data del 05/04/2024, ovvero dal momento in cui il Garante, acquisito il riscontro della Società, ha avuto contezza del mancato riscontro all’istanza di esercizio dei diritti. 

Come è noto, l’art. 166, comma 5, del Codice prevede che “L’Ufficio del Garante, quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni indicate nel presente titolo e nell’articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia il procedimento per l’adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni, nel rispetto delle garanzie previste dal Regolamento di cui al comma 9 (…)”.

Nel caso in esame, l’Ufficio, subito dopo aver ricevuto il riscontro dalla Società a fronte dell’invito ad aderire, ha ritenuto necessario svolgere un ulteriore approfondimento istruttorio per verificare se il riscontro fornito fosse effettivamente completo: in tal caso, infatti, l’illiceità della condotta, da imputare al titolare, avrebbe assunto una diversa e ben più grave connotazione, rendendosi finanche necessario ordinare, alla parte resistente, di soddisfare le richieste dell’interessato (art. 58, par. 2, lett. c), del Regolamento).

Pertanto, solo a seguito della nota della reclamante del 31/08/2024 con la quale veniva comunicata l'esaustività del riscontro, l’Ufficio ha potuto effettuare le opportune valutazioni, sulla base degli elementi acquisiti nel corso dell’attività istruttoria, che “configurino una o più violazioni” (come viene sancito dall’art. 166, comma 5, del Codice).

Tutto ciò, in linea con un costante orientamento giurisprudenziale in base al quale “il termine per la contestazione degli illeciti decorre dal momento del relativo accertamento, il quale non coincide necessariamente né con quello della mera constatazione dei fatti nella loro materialità né con quello in cui le relazioni o i rapporti finali degli incaricati degli accertamenti siano stati depositati o comunque messi a disposizione degli organi dell’autorità di supervisione competenti al relativo esame, dovendosi tener conto, a tal fine, del tempo strettamente necessario affinché, al termine delle verifiche preliminari, la constatazione dei fatti avrebbe potuto essere tradotta in accertamento” (Cass. civ. Sez. II, ord. 17/04/2024, n. 10348; Cass. civ. Sez. II, sent. 30/03/2023, n. 9022).

Alla luce di tutto quanto sopra esposto, si conferma quindi, in capo alla Società, la violazione degli artt. 12, par. 3 e 15 del Regolamento, considerato che, solo a seguito dell’avvio dell’istruttoria dell’Autorità, è stato pienamente soddisfatto il diritto di accesso dell’interessata.  

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento posto in essere dalla Società, con riferimento al mancato riscontro all’istanza di esercizio dei diritti presentata dalla reclamante, risulta illecito, nei termini sopra esposti, in relazione agli artt. 12, par. 3, e 15 del Regolamento.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si prende atto della circostanza che la Società, nel corso del procedimento, ha provveduto ad aderire all’istanza di esercizio dei diritti dell’interessata.

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83, del Regolamento, rileva l’illiceità del trattamento effettuato da Union Facility s.r.l., in persona del legale rappresentante pro tempore con sede in Roma, via Cristoforo Colombo n. 163, P.I.11061371008, nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3, e 15 del Regolamento;

[OMISSIS]

DISPONE

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 18 giugno 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori