[doc. web n. 10297306]

Provvedimento del 6 agosto 2026

Registro dei provvedimenti
n. 585 del 6 agosto 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, e il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal Sig. XX nei confronti di La Patria S.p.A.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare e attività svolta.

In data 26 luglio 2023, il sig. XX ha presentato un reclamo ai sensi dell’art. 77 del Regolamento e degli artt. 142 e ss. del Codice nei confronti di La Patria S.p.A. (di seguito, la Società), relativamente al quale in data 26 novembre 2023 e in data 18 aprile 2024 sono state inviate le regolarizzazioni a seguito di specifiche richieste dell’Ufficio rispettivamente del 16 novembre 2023 e del 3 aprile 2024.

Con il reclamo, sono state lamentate presunte violazioni del Regolamento, in particolare: l’assenza di riscontro a due istanze di accesso ai dati con cui è stato chiesto di “visionare ed ottenere copia di tutta la documentazione inerente la […] contestazione [disciplinare] ivi compresa la registrazione della rilevazione del dispositivo GPS presente sull’autovettura aziendale targata […]” (14/06/2022) e di avere “accesso agli atti al fine di prendere visione ed ottenere copia di tutta la documentazione inerente la predetta contestazione” (25/06/2022); la produzione nel giudizio dinanzi all’autorità giudiziaria, da parte della Società, di una “presunta lista di tabulati GPS, sistema satellitare di cui sono dotate le autovetture aziendali che, da quanto asserito dalla [Società] risale al periodo dal 02 aprile 2022 al 25 maggio 2022” nonché l’avere commissionato a una società di investigazioni private un’attività di pedinamento del reclamante.

In data 2 maggio 2024, l’Ufficio ha inviato una richiesta di informazioni ai sensi dell’art. 157 del Codice alla Società che, il 10 giugno 2024, ha inviato il proprio riscontro. In tale occasione la Società ha dichiarato che:

“il [reclamante] è stato assunto da la Patria Spa […] con qualifica di guardia giurata sino al 4 luglio 2022, data in cui il lavoratore veniva licenziato per giusta causa a seguito di procedimento disciplinare avviato con contestazione di addebito disciplinare del 7.6.2022, poi annullata e sostituita da contestazione di addebito disciplinare del 21.6.2022” (v. nota 10/06/2024, p. 1);

“con ordinanza del 30 gennaio 2024, il Tribunale […] ha ritenuto il licenziamento illegittimo” (v. nota cit., p. 1);

“con tale provvedimento il Tribunale si è anche pronunciato sulla legittimità dell’indagine investigativa commissionata da La Patria a[lla agenzia investigativa]” (v. nota cit., p. 2);

“alla data di redazione della presente memoria pende […] ricorso in opposizione ex art. 1, comma 5, Legge n. 92/2012 proposta da La Patria Spa” (v. nota cit., p. 2);

“in ordine al rapporto di lavoro instaurato con il [reclamante] si allegano le informative tempo per tempo vigenti nel periodo temporale delle circostanze denunciate mediante il reclamo: informativa dell’8 aprile 2019 lavoratori dipendenti […] e personale dipendente con decreto prefettizio, pari data […]; informativa dell’1 settembre 2021 lavoratori dipendenti […] e personale dipendente con decreto prefettizio, pari data […]; informativa del 14 dicembre 2022 lavoratori dipendenti […] e personale dipendente con decreto prefettizio, pari data” (v. nota cit., p. 2);

“in merito alla memoria del 14 giugno 2022 va precisato che la stessa è stata redatta come memoria difensiva da parte del lavoratore nell’alveo del procedimento di contestazione disciplinare regolato dall’art. 7 legge 300/1970. Dalla lettura […] dello scritto elaborato dai legali del lavoratore, non vi è alcun riferimento alla normativa GDPR o anche solo un accenno in tal senso, tanto è che la richiesta viene fatta a chiosa delle conclusioni ove si richiede copia relativa alla documentazione riferibile alla contestazione, con chiaro riferimento alla normativa giuslavoristica, senza alcun accenno ai diritti del lavoratore come interessato al trattamento ex GDPR. Ulteriore conferma di ciò emerge dall’esame della procura rilasciata a tal fine dal [reclamante] al proprio difensore […], allegata alla memoria difensiva, con la quale il lavoratore che [ha] conferito mandato al legale «per rappresentarmi e difendermi nel procedimento disciplinare promosso nei miei confronti (…)». Peraltro nella memoria si riferisce a presunti tabulati GPS sulla erronea convinzione […] che la contestazione traesse il proprio supporto probatorio nella geolocalizzazione della autovettura mediante tale strumentazione aziendale. […] essendo i due elaborati redatti da professionisti legali, quindi dotati di competenze tecniche, ove avessero inteso esercitare i diritti ex art. 15 GDPR, avrebbero di certo proceduto ad una richiesta puntuale anche in tal senso, non limitando i riferimenti al solo art. 7 legge 300/1970” (v. nota cit., p. 3);

“considerazioni analoghe valgono con riferimento alla memoria del 22 giugno 2022 […]; nulla in ordine ad istanze di accesso dei diritti previsti per l’interessato, in via generale, ex art. 15 GDPR, ben che meno in ordine all’art. 22 GDPR” (v. nota cit., p. 4);

“chiaro come in tale sede il lavoratore abbia lamentato […] esclusivamente una asserita compromissione dei diritti di difesa nell’ambito del procedimento disciplinare” (v. nota cit., p. 4);

“in merito al dispositivo GPS presente sulle autovetture aziendali de La Patria spa […] Si legge […] testualmente dall’accordo in sede sindacale che il titolare del trattamento intende utilizzare dispositivi GPS per la gestione del parco macchine nonché la sicurezza attiva e passiva del conducente” (v. nota cit., p. 5);

“la Patria Spa quindi, una volta informalmente coinvolto il DPO per le opportune valutazioni, ha convocato le sigle sindacali interessate, le quali, notiziate dello strumento che il datore di lavoro intendeva adottare e delle modalità di rilevazioni dei dati, hanno sottoscritto il relativo accordo, legittimandone l’utilizzo; ciò proprio in considerazione del fatto che il sistema installato permette di individuare una serie di dati e parametri relativi al funzionamento dell’autovettura (e quindi, necessariamente, anche la posizione della stessa), ma non è in grado di rilevare dati di identificazione della GpG che si trova a bordo del veicolo, ed altresì in considerazione del fatto che sul dispositivo, a prescindere dal rilevamento dei dati tecnici dell’autovettura, non è presente alcun dato personale della GpG a cui è assegnata la vettura durante il servizio” (v. nota cit., p. 6);

“in coerenza a quanto pattuito con le sigle sindacali, per raccogliere le informazioni in ordine al servizio di sorveglianza lungo la strada […] che hanno condotto all’apertura del procedimento disciplinare nei confronti del [reclamante] e poi al suo licenziamento, La Patria si è rivolta ad una agenzia di investigazione del [reclamante]. Prova di ciò è il fatto che l’unico documento utilizzato a fini disciplinari dal datore di lavoro […] è stata la relazione dell’agenzia investigativa” (v. nota cit., p. 6);

“il sistema di monitoraggio dei parametri tecnici di funzionamento del parco auto aziendale è completamente scorporato dal flusso di attività del ramo operativo della società, compresi centrale operativa ed ufficio servizi, e quindi da ogni dato riguardante i lavoratori che utilizzano i veicoli. L'unica funzione aziendale che ha accesso ai dati raccolti da tale sistema è l'ufficio logistico, il quale opera in orario nel quale le pattuglie notturne non sono operative ed esclusivamente per le finalità di cui ad accordo o richiesta della direzione aziendale e, comunque, in modalità offline. La figura addetta a tale ruolo è un'unica persona dell'ufficio logistico, priva di qualsiasi mansione di controllo del personale ed è oggetto di un incarico all'uopo” (v. nota cit., p. 7);

“in ordine al documento 11 prodotto in giudizio dalla difesa de La Patria, giova precisare come l’elaborazione di tale documento, non prevista dall’organizzazione aziendale per i motivi or ora indicati, sia avvenuta solo ex post per rispondere alla richiesta di esibizione ai sensi dell’art. 210 c.p.c. formulata da controparte nel proprio ricorso introduttivo del giudizio […]. L’elaborazione dei dati del tabulato GPS, che si rammenta ancora una volta, consente esclusivamente la geolocalizzazione del veicolo, ponendoli in collegamento con i dati riguardanti il personale in servizio, si è reso quindi necessario solo al momento di esercitare i diritti di difesa in giudizio ed in tal senso” (v. nota cit., p. 7).
In data 15 ottobre 2024, l’Ufficio ha inviato una richiesta di ulteriori informazioni ai sensi dell’art. 157 del Codice e la Società, in data 14 novembre 2024, ha inviato il proprio riscontro e in tale occasione ha rappresentato che:

“i dati di geolocalizzazione delle autovetture aziendali vengono trattati da La Patria S.p.A. esclusivamente per conseguire finalità operative e di sicurezza, come indicato nell’Accordo sindacale […] sottoscritto in data 10 giugno 2019. In particolare, si specifica che i dati acquisiti mediante dispositivo GPS vengono utilizzati da la Patria S.p.A. con il solo obiettivo di ottimizzare la gestione operativa e logistica, garantendo al contempo la sicurezza del personale e dei veicoli aziendali. […] il trattamento dei dati di geolocalizzazione non ha mai riguardato la gestione diretta di dati personali dei dipendenti per finalità di controllo individuale, ma è finalizzato esclusivamente al monitoraggio dei mezzi per esigenze logistiche e di sicurezza” (v. nota 14/11/2025, p. 1);

“poiché l’Azienda ha sempre utilizzato i dati acquisiti mediante dispositivo GPS per le sole finalità sopra descritte […] non è stata predisposta né consegnata un’informativa privacy relativa all’installazione dello strumento aziendale al reclamante. Tale omissione è avvenuta in buona fede, ritenendo l’Azienda che in assenza di un trattamento che coinvolgesse i dati personali del lavoratore l’informativa specifica non fosse necessaria” (v. nota cit., pp. 1, 2);

“l’Azienda, pienamente consapevole della rilevanza normativa in materia di protezione dei dati personali, si impegna a conformarsi agli obblighi previsti, assicurando: - la massima diligenza nell’adozione di tutte le misure richieste; - l’implementazione di eventuali misure ulteriori da Voi comunicate anche successivamente nei termini da voi indicati; il tutto allo scopo di garantire la piena rispondenza alle disposizioni vigenti in materia Privacy, ivi compresa la redazione e somministrazione al personale dipendente in forza di un’informativa inerente al trattamento GPS in oggetto” (v. nota cit., p. 2);

“La Patria S.p.A. […] conferma che l’omissione è stata frutto di una diversa interpretazione normativa, senza alcuna intenzione dolosa o fraudolenta” (v. nota cit., p. 2);

con riferimento alle informative del 14 dicembre 2022, 1° settembre 2021 e 8 aprile 2019 “l’Azienda desidera chiarire che non ha mai effettuato, né in passato né attualmente, alcun trattamento di dati personali riferibili a convinzioni filosofiche, orientamenti di altro genere o vita sessuale dei dipendenti. Tali dati personali, infatti, non sono mai stati oggetto di elaborazione, raccolta, registrazione, o archiviazione da parte dell’Azienda, e la loro menzione all’interno dell’informativa privacy è stata unicamente il risultato di una valutazione di tipo meramente prudenziale finalizzata a garantire massima trasparenza agli interessati. Più nello specifico, si precisa che il riferimento alle convinzioni filosofiche o di altro genere, è stato inserito nelle informative privacy come misura cautelativa, tenendo conto della possibilità, seppur puramente teorica, di desumere tali informazioni da fotografie contenute in documenti di identificazione personale. Tuttavia, si ribadisce che tali riferimenti, ove desumibili, non sono trattati dall’Azienda per nessuna ragione attenendosi la stessa al principio di minimizzazione dei dati art. 5 par. 1 lett. c) senza in alcun modo estendere la raccolta o l’archiviazione ad aspetti della vita privata o personale che esulano dal contesto professionale. In modo analogo, la Patria S.p.A. non elabora, raccoglie, registra o tratta in alcun modo dati relativi alla vita sessuale dei propri dipendenti. Tali informazioni sono state inserite all’interno dell’informativa privacy a titolo meramente cautelativo valutando che l’unico contesto in cui possono emergere è la ricezione di documenti relativi a certificati di gravidanza o analoghe informazioni necessarie per adempiere alle normative specifiche e vigenti in ambito lavorativo” (v. nota cit., pp. 2, 3);

“l’Azienda, nella redazione dell’informativa, ha voluto considerare ogni possibile conseguenza che potesse derivare dall’acquisizione di tali informazioni adottando un approccio prudenziale e prettamente finalizzato a fornire un’informativa privacy completa e trasparente” (v. nota cit., p. 3);

“la Patria S.p.A. si impegna […] a procedere, in base alle indicazioni da Voi fornite in risposta alla presente, alla revisione dell’informativa privacy al fine di eliminare, ove necessario, ogni riferimento a categorie particolari di dati non trattati, assicurando che il documento rispecchi accuratamente le reali modalità di trattamento dati adottate. La Patria S.p.A. conferma e rinnova la propria volontà di collaborare con l’Autorità rispettando pienamente la normativa in materia di protezione dei dati personali e adottando tutte le misure necessarie per garantire la conformità alle disposizioni vigenti” (v. nota cit., p. 3);

con riferimento alle informative consegnate in allegato al riscontro del 10 giugno 2024, “si precisa che il trattamento dei file di navigazione internet viene realizzato da La Patria S.p.A. con la sola finalità di far fronte alla necessità di sicurezza e compliance informativa, tutela della rete aziendale, prevenzione delle anomalie informatiche che potrebbero compromettere la sicurezza delle informazioni aziendali e non è destinato in alcun modo al controllo a distanza dei lavoratori. La base giuridica che legittima il trattamento in oggetto è l’interesse legittimo del titolare del trattamento a garantire la sicurezza dei propri sistemi informatici come previsto dall’art. 6 par. 1 lett. f) Regolamento […]. Tale attività di trattamento, conforme al principio di accountability (art. 5, par. 2, Regolamento […]) è limitato [a]i soli dati necessari a garantire la protezione della rete e viene resa operativa unicamente in caso di necessità, evitando qualsiasi trattamento invasivo o non pertinente” (v. nota cit., p. 3);

“l’accesso a tali informazioni è inoltre consentito esclusivamente al personale autorizzato e preposto alla sicurezza informatica e avviene solo in caso di specifiche necessità operative legate ad eventuali criticità inerenti violazioni della rete che impongano l’accesso a tali log” (v. nota cit., p. 3);

“la Patria S.p.A. ribadisce che in nessun caso il trattamento dei dati di navigazione internet viene monitorato e/o utilizzato per finalità di controllo individuale sui lavoratori […]” (v. nota cit., p. 3);

2.  AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE.

2.1.  Avvio del procedimento (art. 166, comma 5, del Codice).

Il 19 marzo 2025, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione delle presunte violazioni del Regolamento nei confronti della Società, con riferimento agli artt. 5, par. 1, lett. a), 6, 12, 13, 15, 88, del Regolamento e 114 del Codice, per non avere fornito idoneo riscontro alle istanze di esercizio del diritto di accesso presentate dal reclamante, in data 14 giugno 2022 e in data 25 giugno 2022, per non avere adempiuto all’obbligo di informativa, per quanto riguarda il trattamento dei dati effettuati tramite gps installato sui veicoli aziendali, per avere fornito documenti informativi non idonei, per quanto riguarda il trattamento di dati appartenenti a categorie particolari di dati e per avere trattato dati relativi ai log della navigazione in Internet dei lavoratori, in modo non conforme alla disciplina in materia di protezione dei dati personali.

2.2.  Difese della parte (art. 166, comma 6, del Codice).  

Con scritti difensivi, inviati in data 17 aprile 2025, la Società ha rappresentato che:

- “con riferimento alla questione del presunto mancato riscontro all’istanza di accesso ai dati personali del reclamante [si precisa che] la richiesta era qualificata dallo stesso reclamante come «Accesso agli atti», e riguardava genericamente la volontà di «prendere visione ed ottenere copia di tutta la documentazione inerente alla contestazione disciplinare» inclusa «la registrazione della rilevazione del dispositivo GPS». L’azienda, pertanto, ha […] inteso la richiesta come parte di un ordinario contraddittorio disciplinare, in linea con il diritto di difesa del lavoratore, che prevede, secondo la normativa giuslavoristica, che il datore di lavoro sia obbligato a fornire solo la documentazione necessaria per garantire il diritto di difesa. In tale ottica, l’Azienda ha ritenuto che i diritti del lavoratore potessero essere garantiti attraverso i meccanismi previsti dall’ordinamento lavoristico e processuale, in conformità a quanto affermato anche dalla giurisprudenza della Corte di cassazione (Vedi Cass. n. 27093 e Cass. Lav. n. 23304 del 18/11/2010 e Cass. n. 6468/2024)” (v. nota 17/04/2025, p. 1);

- chiede di riconoscere “da un lato, l’oggettiva ambiguità della richiesta formulata dal reclamante, dall’altro l’assenza di qualsiasi intento ostruzionistico da parte dell’Azienda” (v. nota cit., p. 1);

- “l’Azienda riconosce che un diverso inquadramento interpretativo della richiesta avrebbe potuto consentire una risposta pienamente conforme al GDPR, qualificando correttamente l’istanza come esercizio dei diritti dell’interessato. L’Azienda ha pertanto deliberato di adottare un protocollo interno per il trattamento delle richieste che presentano profili giuslavoristici e privacy congiunti, coinvolgendo il nuovo DPO e consulente nominato nella valutazione preliminare” (v. nota cit., p. 1);

- “riguardo alla richiesta relativa al tracciato GPS […] l’Azienda non era in possesso di dati riferibili in modo diretto al reclamante. il sistema di localizzazione, infatti, non associava automaticamente i dati tecnici raccolti ad un determinato soggetto. Pertanto, per dare seguito alla richiesta, l’Azienda avrebbe dovuto accedere al sistema ed elaborare dati mai estratti e conseguentemente associarli al lavoratore, operazione che avrebbe comportato un trattamento ulteriore e non necessario di dati personali” (v. nota cit., p. 2);

- “nella definizione dell’entità di una eventuale sanzione o nell’applicazione di eventuali misure correttive, l’Azienda chiede di tenere conto del fatto che il reclamante, in qualità di interessato, non ha subito pregiudizio alcuno in merito al trattamento dei suoi dati personali” (v. nota cit., p. 2);

- “con riferimento alla mancata predisposizione di un’idonea informativa privacy in merito al trattamento dei dati mediante sistema GPS installato sui veicoli aziendali, si precisa che tale omissione è da ricondurre a un errore di valutazione commesso, in buona fede” (v. nota cit., p. 2);

- “il trattamento dei dati rilevati tramite GPS è stato effettuato unicamente per finalità organizzative e operative, tra cui l’ottimizzazione della gestione del parco veicoli e la pianificazione della manutenzione dei mezzi. Particolare attenzione è stata riservata alla sicurezza del personale, considerata la natura delle attività svolte e i possibili rischi connessi; proprio in quest’ottica, anche se il sistema non identificava direttamente la GPG a bordo del veicolo, l’Azienda ha ritenuto importante, poter risalire, in caso di emergenza, al dipendente a bordo del veicolo, opzione pensata esclusivamente per garantire un intervento rapido senza alcun intento di controllo” (v. nota cit., p. 2);

- “pur riconoscendo la carenza dell’informativa, l’azienda sottolinea che il trattamento dei dati non ha avuto alcun impatto negativo sui diritti e sulle libertà dei dipendenti. Inoltre […] risulta fosse ben noto al dipendente che l’autovettura aziendale fosse dotata di un sistema satellitare GPS integrato, rendendo chiara la consapevolezza del trattamento, anche se non formalmente documentato” (v. nota cit., p. 2);

- “l’Azienda ha operato in buona fede e si è immediatamente adoperata per correggere le problematiche emerse provvedendo ad inviare tempestivamente una comunicazione chiara ed esaustiva ai lavoratori, contenente tutte le informazioni di cui agli art. 13 e 14 del GDPR” (v. nota cit., p. 2);

- "per quanto concerne i dati relativi a «convinzioni filosofiche, orientamenti di altro genere o vita sessuale» […] si precisa che il riferimento presente nelle informative è stato inserito in via prudenziale, al fine di garantire la massima trasparenza, pur senza che fosse effettuato alcun trattamento di tali dati. l’Azienda riconosce che l’informativa non è stata completamente allineata con le operazioni di trattamento effettivamente svolte, ma sottolinea che, non essendo stato effettuato alcun trattamento di dati di cui sopra, non si sono verificati danni ai diritti e alle libertà dei dipendenti. […] Poiché non c’è stato alcun danno effettivo, l’impatto della violazione è stato minimo, e pertanto chiediamo che l’entità della sanzione venga necessariamente ridotta o azzerata” (v. nota cit., pp. 2, 3);

- “l’Azienda ha già avviato una revisione della documentazione informativa per adeguarla alle effettive operazioni di trattamento dei dati e garantire una piena conformità con gli articoli 12 e 13 del Regolamento” (v. nota cit., p. 3);

- “a conferma dell’impegno assunto, si allega […] bozza aggiornata dell’informativa rivolta ai dipendenti, dalla quale sono stati eliminati i riferimenti a categorie particolari di dati personali non trattati” (v. nota cit., p. 3);

- “in tale contesto, è opportuno segnalare che l’Azienda ha recentemente proceduto alla sostituzione del DPO, sia al cambio del consulente esterno” (v. nota cit., p. 3);

- “relativamente al trattamento dei log di navigazione Internet, intende fornire un chiarimento formale e collaborativo […] l’Azienda si scusa per l’imprecisione lessicale e conferma che nessun sistema di logging o analisi dei siti visitati dai dipendenti risulta attivo nei propri ambienti IT, né sono previste o consentite attività di controllo dei contenuti web navigati dai lavoratori, anche in forma indiretta” (v. nota cit., p. 3);

- “nella nota precedentemente trasmessa, la terminologia utilizzata («log di navigazione internet») è risultata ambigua e suscettibile di interpretazioni erronee. Tale formulazione era intesa in senso tecnico-sistemico, non riferita alla navigazione individuale su Internet da parte dei lavoratori” (v. nota cit., p. 3);

- “l’Azienda ha anche svolto […] ulteriori verifiche interne dalle quali è emerso che il trattamento effettuato dall’Azienda riguarda esclusivamente log tecnici di sistema, generati automaticamente dai dispositivi di rete […] per garantire la sicurezza perimetrale e l’integrità delle infrastrutture IT aziendali” (v. nota cit., p. 3);

- “tali log: - non registrano le URL o i contenuti delle pagine web visitate dai lavoratori; - non sono riconducibili in modo diretto o indiretto ai singoli lavoratori, né vengono utilizzati ai fini di monitoraggio comportamentale o controllo della produttività; - non vengono elaborati né analizzati in forma individualizzata, ma soltanto in ipotesi eccezionali legate alla gestione di incidenti di sicurezza o malfunzionamenti critici; - sono conservati per un periodo limitato, conforme al principio di proporzionalità e minimizzazione” (v. nota cit., p. 3);

- “per maggiore trasparenza e in ottica di accountability, l’Azienda ha già: - aggiornato l’informativa privacy dei dipendenti, specificando la natura tecnica e non identificativa dei log generati; - integrato il registro dei trattamenti con la corretta qualificazione di tale attività” (v. nota cit., p. 3);

- la Società “rinnova il proprio impegno a collaborare pienamente con l’Autorità per garantire la conformità alla normativa vigente in materia di protezione dei dati personali” (v. nota cit., p. 4).    

3. VALUTAZIONI DELL’AUTORITA’.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che la Società, in qualità di titolare, ha effettuato alcune operazioni di trattamento che risultano non conformi alla disciplina in materia di protezione dei dati personali per i motivi di seguito indicati.

In particolare, la Società non ha fornito idoneo riscontro alle istanze di esercizio dei diritti, presentate dal reclamante in data 14 giugno 2022 e in data 25 giugno 2022, aventi a oggetto la documentazione alla base della contestazione disciplinare.

Inoltre, la Società non ha adempiuto all’obbligo di informativa per quanto riguarda il trattamento dei dati effettuati tramite gps installato sui veicoli aziendali.

La Società ha altresì fornito documenti informativi non idonei, per quanto riguarda il trattamento di dati appartenenti a categorie particolari di dati.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

3.1. Violazione degli artt. 12 e 15 del Regolamento.

È stato accertato che la Società non ha fornito idoneo riscontro all’istanza di esercizio di accesso del 14 giugno 2022 (contenuta nella memoria difensiva presentata nell’interesse del reclamante a seguito della contestazione disciplinare) con la quale il reclamante ha chiesto di potere accedere alla documentazione inerente la contestazione disciplinare del 7 giugno 2022 (in specie è stato chiesto di “prendere visione ed ottenere copia di tutta la documentazione inerente la predetta contestazione ivi compresa la registrazione della rilevazione del dispositivo GPS presente sull’autovettura aziendale targata […]”), e all’istanza di accesso del 25 giugno 2022 relativamente alla documentazione inerente la contestazione disciplinare del 21 giugno 2022 (istanza contenuta nella memoria difensiva presentata nell’interesse del reclamante nella quale si legge “insiste nell’istanza [a]lla società […] di accesso agli atti al fine di prendere visione ed ottenere copia di tutta la documentazione inerente la predetta contestazione”).

La condotta della Società è stata tenuta in violazione degli artt. 12 e 15 del Regolamento.

Riguardo a ciò, il reclamante ha precisato che “il licenziamento è stato impugnato sia in sede stragiudiziale sia in sede giudiziale […] avviato con ricorso […] e il ricorrente ha sempre chiesto l’esibizione dei documenti raccolti dalla ditta accusatrice e quest’ultima esibiva la relazione investigativa solo innanzi al Giudice del Lavoro. […] il reclamo depositato innanzi a[ll’]Autorità trae origine da quanto appreso dalla memoria della ditta La Patria Spa, depositata in data 01 marzo 2023 nel giudizio di lavoro pendente”.

L’obiezione sollevata dalla Società in merito alla mancanza di riferimenti al Regolamento nelle istanze presentate dal reclamante, dalla quale discenderebbe l’impossibilità di qualificarla come istanza di accesso ai dati, non può essere accolta: dal tenore delle istanze, infatti, risulta chiaro quale sia l’oggetto delle stesse.

In proposito, si osserva che, relativamente al diritto riconosciuto all’interessato dall’art. 15 del Regolamento, le Linee guida 1/2022 sui diritti degli interessati – Diritto di accesso adottate dall’EDPB il 28 marzo 2023 (alle quali sono state apportate lievi modifiche il 30 maggio 2024) precisano infatti che “il GDPR non impone requisiti agli interessati per quanto riguarda la forma della richiesta di accesso ai dati personali. Pertanto in linea di principio gli interessati non devono rispettare alcun requisito ai sensi del GDPR al momento di scegliere il canale di comunicazione attraverso il quale entrare in contatto con il titolare del trattamento” (v. par. 3.1.2., punto 52).

Neppure può essere accolto quanto sostenuto dalla Società in merito alla strumentalità delle richieste e all’assenza di prova, da parte del reclamante, di un danno derivante dalla mancata consegna dell’oggetto delle istanze di accesso come elementi giustificanti un’assenza di riscontro.

A riguardo, si deve sottolineare come le citate Linee guida sul diritto di accesso ai dati precisano che “la finalità generale del diritto di accesso consiste nel fornire alle persone informazioni sufficienti, trasparenti e facilmente accessibili in merito al trattamento dei loro dati personali, in modo che esse possano essere consapevoli del trattamento e verificarne la liceità, anche per quanto riguarda l'esattezza dei dati trattati” (p. 3, nella sezione “Sintesi”)) e che “l'interessato non ha […] l'obbligo di motivare la richiesta di accesso, e non spetta al titolare del trattamento valutare se la richiesta sarà effettivamente utile all'interessato per verificare la liceità del trattamento pertinente oppure per esercitare altri diritti. Il titolare del trattamento dovrà dar seguito alla richiesta, tranne nel caso in cui sia evidente che essa è stata presentata in base a norme diverse da quelle in materia di protezione dei dati” (p. 3, nella sezione “Sintesi”).

Inoltre, qualora il titolare del trattamento ritenga di non potere dare seguito a istanze di esercizio dei diritti, deve comunicare all’istante i motivi del diniego nonché l’esistenza del diritto di presentare ricorso all’autorità giudiziaria o reclamo al Garante per la protezione dei dati personali (chiaro sul punto l’art. 12, par. 4, del Regolamento).

Nel caso di specie, è risultato che la Società non ha fornito idoneo riscontro alle istanze di accesso ai dati, neanche per manifestare l’impossibilità di dare seguito alle stesse; la Società si è limitata infatti a precisare “neppure è di ostacolo all’irrogazione del provvedimento disciplinare la richiesta di accesso alle fonti di prova relative ai fatti contestati, posto che il datore di lavoro non è tenuto a ciò prima dell’irrogazione del provvedimento” (v. lettera di licenziamento del 4/07/2022).

Infine, in merito alla giurisprudenza citata dalla Società in materia di obblighi che gravano sul datore di lavoro nell’ambito della procedura di cui all’art. 7 della l. n. 300 del 1970, ci si limita a osservare che l’oggetto dell’accertamento della violazione della disciplina di protezione dei dati personali ha riguardato il diritto di accesso ai dati personali previsto dall’art. 15 del Regolamento, quindi un diritto delineato nell’ambito della disciplina di protezione dei dati personali che ha caratteri propri e autonomi, avente per oggetto i dati personali, dunque i dati riferiti all’interessato.

3.2. Violazione dell’obbligo di fornire un’idonea informativa in merito al trattamento dei dati effettuato.

La Società ha inoltre posto in essere una condotta in violazione dell’art. 13 del Regolamento, con riferimento al trattamento dei dati relativi alla geolocalizzazione, perché, in base a quanto dichiarato dalla stessa, a fronte del trattamento dei dati relativi alla geolocalizzazione satellitare dei veicoli aziendali, non è stata fornita agli interessati una specifica informativa in merito.

In proposito, si osserva come la raccolta del dato di geolocalizzazione del veicolo utilizzato dal lavoratore fornisca informazioni indirettamente ricollegate al lavoratore che si trova alla guida del medesimo veicolo aziendale e quindi comporti il trattamento di dati personali che, come tali, necessitano del rilascio, agli interessati, delle informazioni indicate dall’art. 13 del Regolamento.

Nello stesso accordo che, in conformità alla procedura di garanzia prevista dall’art. 4 comma 1 della l. n. 300 del 1970, è stato concluso dalla Società con le rappresentanze sindacali è stato precisato che “l’Azienda si impegna: a dare al personale dipendente apposita informativa rispetto a quanto sopra, ai sensi dell’art. 13 del T.U. sulla Privacy D.L. n. 196/2003, entro 30 giorni dalla sottoscrizione del presente accordo”.

Stante il trattamento effettuato, nonostante l’obbligo di cui all’art. 13 del Regolamento, seppure nel citato accordo vi fosse chiaramente indicato che la Società avrebbe fornito idonea informativa ai lavoratori, la Società non ha adempiuto all’obbligo.

In proposito la stessa Società ha riconosciuto che, attraverso il sistema di geolocalizzazione, può “risalire, in caso di emergenza, al dipendente a bordo del veicolo, opzione pensata esclusivamente per garantire un intervento rapido” (v. nota 17/04/2025, p. 2); la Società ha inoltre riconosciuto di non avere predisposto, al tempo dei fatti, una idonea informativa in merito al trattamento dei dati di geolocalizzazione.

Si prende atto del fatto che la Società ha dichiarato di essersi “immediatamente adoperata per correggere le problematiche emerse provvedendo ad inviare tempestivamente una comunicazione chiara ed esaustiva ai lavoratori” ai sensi degli artt. 13 e 14 del Regolamento (v. nota 17/04/2025, p. 2).  

L’art. 13 del Regolamento, norma che sancisce l’obbligo di informativa in capo al titolare del trattamento, è stata violata dalla Società, inoltre, in quanto, nelle informative del 14 dicembre 2022, 1° settembre 2021 e 8 aprile 2019, la Società ha precisato che, nell’ambito del trattamento che effettua, potrà venire a conoscenza anche di informazioni relative a “convinzioni filosofiche o di altro genere” e “vita sessuale” dei dipendenti – dati appartenenti alle cc.dd. categorie particolari di cui all’art. 9 del Regolamento - nonostante lo stesso trattamento, come dichiarato dalla Società, non sia stato effettuato.

Da ciò, emerge come la documentazione informativa sul trattamento dei dati dei lavoratori non appaia conforme ai trattamenti posti in essere dalla Società anche relativamente ai dati c.d. particolari.

In base all’art. 12 par. 1 del Regolamento, tra l’altro, “il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 […] relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”, l’art. 13 del Regolamento precisa che “in caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le […] informazioni [elencate nella stessa norma]”.

Il contenuto nell’informativa deve, dunque, descrivere operazioni di trattamento che siano in effetti poste in essere e che le stesse siano conformi alla disciplina di protezione dei dati; non è sufficiente di per sé, per rendere idoneo un trattamento, che la descrizione dello stesso venga inserita all’interno dell’informativa né che l’informativa descriva delle operazioni di trattamento se, poi, nel concreto il titolare non le pone in essere.

In proposito, la stessa Società ha dichiarato di avere inserito nei documenti contenenti l’informativa tali dati “in via prudenziale, al fine di garantire la massima trasparenza, pur senza che fosse effettuato alcun trattamento di dati di cui sopra” (v. nota 17/04/2025, pp. 2, 3). Per i motivi su esposti la condotta della Società ha violato gli artt. 12 e 13 del Regolamento.

In proposito, si prende atto del fatto che la Società ha dichiarato di avere “avviato una revisione della documentazione informativa” allegando una bozza aggiornata dell’informativa rivolta ai dipendenti, precisando, relativamente alla stessa, che “sono stati eliminati i riferimenti a categorie particolari di dati personali non trattati” (v. nota 17/04/2025, n. 3).  

Si rammenta, al riguardo, che, in base all’art. 9 del Regolamento, vige, relativamente ai dati c.d. particolari, un generale divieto di trattamento; tale divieto può essere superato nelle ipotesi tassativamente previste dal par. 2 del medesimo articolo. Tra queste la lett. b) precisa che il divieto non si applica quando “il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o egli Stati membri […], in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”.

Per quanto riguarda, infine, la contestazione, formulata in sede di avvio del procedimento, in merito alla violazione degli artt. 5, par. 1, lett. a), 6, 88 del Regolamento, 113 e 114 del Codice, in relazione ai dati relativi alla navigazione in Internet dei dipendenti, si prende atto di quanto rappresentato dalla Società negli scritti difensivi del 17 aprile 2025 da cui deriva come la stessa non abbia effettuato il trattamento oggetto di contestazione.

Per tali ragioni, non si ritiene che sussistano, nel caso di specie, gli estremi per adottare provvedimenti in relazione alla violazione degli artt. 5, par. 1, lett. a), 6, 88 del Regolamento, 113 e 114 del Codice, contenuta nella notifica delle violazioni del 19 marzo 2025 che si ritiene, dunque, di archiviare, nella parte riguardante tali specifici profili.

In merito alla bozza di informativa che la Società ha allegato agli scritti difensivi del 17 aprile 2025 – documento, dunque, ancora in effetti non operativo -, considerato il contenuto della notifica delle violazioni e viste le dichiarazioni della Società in merito alla sistemazione dei documenti informativi per conformarsi alla disciplina di protezione dei dati personali, si rammenta alla Società la necessità di rispettare la disciplina di protezione dei dati personali, anche laddove, nei documenti contenenti l’informativa, si descrivano operazioni di trattamento relative a dati di navigazione, dati o metadati afferenti alla casella di posta elettronica individualizzata assegnata al dipendente, al contenuto dei messaggi di posta in entrata e in uscita relativamente a indirizzi di posta aziendale individualizzati.

Ciò, sempre tenuto conto del fatto che i documenti informativi devono descrivere operazioni di trattamento di per sé lecite.

4. CONCLUSIONI.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Le condotte poste in essere dalla Società e segnatamente l’assenza di idoneo riscontro alle istanze di accesso ai dati, la non conformità all’obbligo di fornire idonea informativa relativamente alla geolocalizzazione dei veicoli aziendali, la non conformità all’obbligo di informativa per avere fornito informazioni non corrette relativamente al trattamento di dati c.d. particolari, risultano illecite, nei termini su esposti, in relazione agli artt. 12, 13, 15.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura delle plurime violazioni accertate che hanno riguardato l’obbligo di fornire un’idonea informativa e l’esercizio del diritto di accesso (v. considerando 148 del Regolamento).

5. MISURE CORRETTIVE

Considerando che la condotta ha esaurito i suoi effetti - atteso che, infine, il reclamante ha ottenuto la relazione investigativa già nel corso del giudizio dinanzi all’autorità giudiziaria, che la Società ha dichiarato di essersi attivata per fornire un’informativa in merito al trattamento dei dati di geolocalizzazione ai propri lavoratori e che ha dichiarato di avere rimosso i riferimenti non corretti contenuti nell’informativa in merito al trattamento dei dati c.d. particolari - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. art. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile.

La violazione delle predette disposizioni ha avuto luogo in conseguenza di più condotte (relativamente alle istanze di esercizio del diritto di accesso e in merito all’obbligo di fornire idonea informativa) che dunque devono essere considerate separatamente, ai fini della quantificazione delle sanzioni amministrative da applicarsi che, per il complesso delle violazioni, sono state quantificate in una somma pari a euro 39.000 (trentanovemila) in ragione delle motivazioni che seguono.

6.2. Quantificazione della sanzione amministrativa pecuniaria relativa all’esercizio del diritto di accesso (art. 83, par. 2, del Regolamento).

Relativamente alla condotta in merito all’esercizio del diritto di accesso, l’art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2 da valutare all’atto di quantificarne il relativo importo.

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

il trattamento illecito è costituito dal non avere fornito idoneo riscontro a istanze di accesso ai dati di un interessato (cfr. art. 83, par. 2, lett. a), del Regolamento;

come risulta dalla motivazione del presente provvedimento, la condotta della Società è stata rappresentata dalla colpa (cfr. art. 83, par. 2, lett. b), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è una società per azioni con un fatturato inferiore a 500 milioni di euro, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

la Società ha dichiarato di avere deliberato di adottare un protocollo interno per il trattamento delle richieste che presentano profili giuslavoristici e privacy congiunti, coinvolgendo il nuovo DPO e consulente nominato (cfr. art. 83, par. 2, lett. c), del Regolamento);

non risultano precedenti violazioni pertinenti a carico della Società (cfr. art. 83, par. 2, lett. e), del Regolamento);

il grado di cooperazione con la Società è stato ordinario (cfr. art. 83, par. 2, lett. f), del Regolamento);

l’Autorità ha appreso della violazione tramite il reclamo presentato dall’interessato (cfr. art. 83, par. 2, lett. h), del Regolamento).

Nel caso di specie, si ritiene che assumano rilevanza le condizioni economiche del titolare del trattamento, determinate in base ai ricavi del titolare, di cui al bilancio ordinario di esercizio per l’anno 2024.

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 22.000 (ventiduemila) per la violazione degli artt. 12 e 15 del Regolamento.

6.3. Quantificazione della sanzione amministrativa pecuniaria relativa alla violazione dell’obbligo di fornire una idonea informativa (art. 83, par. 2, del Regolamento).

Relativamente alla condotta in merito alla violazioni dell’obbligo di fornire una idonea informativa, l’art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2 da valutare all’atto di quantificarne il relativo importo.

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

il trattamento illecito è costituito dal non avere adottato una idonea informativa relativamente alla geolocalizzazione dei veicoli aziendali e relativamente ai dati c.d. particolari da fornire ai lavoratori (cfr. art. 83, par. 2, lett. a), del Regolamento;

come risulta dalla motivazione del presente provvedimento, la condotta della Società è stata caratterizzata da colpa (cfr. art. 83, par. 2, lett. b), del Regolamento);

la violazione in esame ha riguardato le informazioni relativamente ai dati di geolocalizzazione trattati e ad il riferimento ad alcuni dati c.d. particolari, nel concreto però non trattati (cfr. art. 83, par. 2, lett. g), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia media (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è una società per azioni con un fatturato inferiore a 500 milioni di euro, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

la Società ha dichiarato di avere fornito una comunicazione chiara ai lavoratori in merito alla geolocalizzazione e di avere eliminato i riferimenti non corretti relativamente al trattamento di dati c.d. particolari in effetti non trattati (cfr. art. 83, par. 2, lett. c), del Regolamento);

non risultano precedenti violazioni pertinenti a carico della Società (cfr. art. 83, par. 2, lett. e), del Regolamento);

il grado di cooperazione con la Società è stato ordinario (cfr. art. 83, par. 2, lett. f), del Regolamento);

l’Autorità ha appreso della violazione tramite il reclamo presentato dall’interessato (cfr. art. 83, par. 2, lett. h), del Regolamento);

come fatto attenuante si considera anche che i dati c.d. particolari, inseriti nell’informativa relativi a convinzioni filosofiche e dati relativi alla vita sessuale, nonostante espressamente previsti del documento, non sono stati, per espressa dichiarazione della Società, mai trattati dalla stessa cfr. art. 83, par. 2, lett. k), del Regolamento);

Nel caso di specie, si ritiene che assumano rilevanza le condizioni economiche del titolare del trattamento, determinate in base ai ricavi del titolare, di cui al bilancio ordinario di esercizio per l’anno 2024.

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 17.000 (diciassettemila) per la violazione degli artt. 12 e 13 del Regolamento.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione della gravità delle condotte poste in essere che hanno riguardato l’esercizio del diritto di accesso ai dati e l’obbligo di fornire idonea informativa ai lavoratori.

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato da La Patria S.p.A., con sede legale in Via della Barca, n. 26, Bologna, C.F. 07764040965, per la violazione degli artt. 12, 13, e 15 del Regolamento, nei termini di cui in motivazione;

SI DETERMINA

di archiviare la contestazione adottata nei confronti di La Patria S.p.A., con atto del 19 marzo 2025, limitatamente alla violazione degli artt. 5, par. 1, lett. a), 6, 88 del Regolamento, 113 e 114 del Codice;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare del trattamento, La Patria S.p.A., di pagare la somma di euro 39.000 (trentanovemila) a titolo di sanzione amministrativa pecuniaria per la/le violazione/i indicate in motivazione.

SI INGIUNGE

al predetto titolare del trattamento, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 39.000 (trentanovemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma,  6 agosto 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi