[doc. web n. 10313638]

Provvedimento del 20 ottobre 2026

Registro dei provvedimenti
n. 804 del 20 ottobre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal sig. XX in data 13/05/2024, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Cogesa S.p.a.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE   il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo nei confronti della Società e l’istruttoria preliminare.

Si fa riferimento al reclamo del 13/05/2024 con cui sig. XX segnalava a questa Autorità un illecito trattamento dei propri dati personali da parte di Cogesa S.p.a. (di seguito la “Società”) rappresentando che “in data 6/2/2024 tramite pec richiedeva il backup della propria casella di posta; che non avendo ricevuto risposta in data 22/3/2024 tramite pec diffidava la società all’espletamento della richiesta; che in data 8/4/2024 tramite pec richiedeva ulteriore documentazione al fine di poter rispondere ad un verbale trasmesso dai Carabinieri Forestali di Sulmona; che alla data odierna non risulta assolta nessuna delle richieste”. 

Con la suddetta nota del 6.2.2024, il reclamante richiedeva altresì alla Società “una volta completata la trasmissione e/o la consegna del materiale richiesto, di cancellare detto materiale informatico”.

Con nota del 22.7.2024, l’Ufficio inviava alla Società un invito ad aderire, ai sensi dell’art. 15 del Regolamento n. 1/2019 del Garante per la protezione dei dati personali. 

Con nota del 16.9.2024, la Società, precisato che il reclamante era l’ex presidente del consiglio di amministrazione della Società, forniva riscontro dichiarando di aver dato seguito alle richieste del reclamante attraverso: 

- l’invio, in data 28.5.2024, di una comunicazione alla segreteria della richiesta all'impresa specializzata, al fine di effettuare il backup e la cancellazione delle e-mail dei sig.ri XX, XX e XX; 

- l’invio, in data 3.6.2024, di una comunicazione all’avv. XX di convocazione “per la consegna dei backup per il giorno 5.6.2024, successivamente posticipata come da accordi tra le parti in data 20.6.2024”; 

-  la delega, datata 4.6.2024, all’ing. XX a consegnare il backup delle e-mail ai membri dell’ex C. di A., il cui verbale di consegna risulta sottoscritto da ciascun membro dell’ex C. di A. in data 20.6.2024. 

Inoltre, in merito alle richieste del reclamante di trasmissione documentale riferita al verbale di prescrizione asseverata n. 1 del 28.2.2024 dei Carabinieri Forestali, la Società ha dichiarato di aver trasmesso tutti i documenti con le e-mail del 24.5.2024 (prot. n. 3441) e del 28.6.2024 (prot. n. 4246); infine con e-mail PEC del 13.5.2024, a firma dell’ing. XX, è stata trasmessa la documentazione afferente al Verbale prescrizione asseverata n. 1 del 18.2.2024 dei Carabinieri Forestali.

2. L’avvio del procedimento.

Sulla base degli elementi acquisiti, l’Ufficio ha provveduto a notificare alla Società, con nota del 23/12/2024, l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3 e 12, par. 4, del Regolamento.

In particolare, l’Ufficio ha proceduto alle suddette contestazioni in considerazione del ritardo con cui la stessa aveva fornito riscontro all’istanza di esercizio dei diritti del reclamante, in relazione ai dati contenuti nella casella di posta elettronica, a seguito della cessazione di un rapporto di lavoro/collaborazione.

Non sono state, invece, oggetto di accertamenti istruttori specifici, e quindi non riguardano il presente provvedimento, le modalità secondo cui la Società ha predisposto di eseguire il backup della posta elettronica.

In data 23/01/2025 la società ha inviato i propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con cui ha argomentato che:

- “Con riferimento alla violazione contestata (mancato riscontro ad istanza di esercizio dei diritti di accesso e cancellazione) è utile sottolineare che questa è stata sanata prima dell’intervento di Codesta Spett.le Autorità. L’istanza è pervenuta in data 6 febbraio 2024 e ribadita in data 22 marzo. Il riscontro è stato offerto, tardivamente per le ragioni che, di seguito, possono essere utili a chiarire le ragioni di tale ritardo, in data 13 maggio 2024; 

- Con riferimento agli elementi di fatto che hanno determinato il ritardo nel riscontro, si ritiene utile portare all’evidenza di Codesta Spett.le Autorità quanto segue. L’interessato rivestiva, sino a pochi giorni prima della presentazione dell’istanza di esercizio dei diritti, la carica di Presidente del Consiglio di Amministrazione della Società con responsabilità di Legale Rappresentante. Inoltre, l’istanza di esercizio dei diritti, è stata trasmessa dal reclamante anche per conto di altri due interessati investiti del ruolo di membri del Consiglio di Amministrazione del Titolare del trattamento. Utile sottolineare come l’istanza non fosse corredata da alcuna delega da parte dei suddetti interessati. L’istanza era volta ad ottenere: a) copia su supporto digitale delle caselle di posta elettronica aziendale della Società assegnate agli interessati e da essi “utilizzate nel corso della loro funzione di amministratori”; b) copia del contenuto delle suddette caselle di posta elettronica; c) accesso alle informazioni relative ai diritti di amministrazione delle caselle del server di posta nell’intero periodo relativo la propria attività amministrativa presso la Società; d) cancellazione delle suddette caselle di posta elettronica. In considerazione del tenore dell’istanza e del ruolo rivestito dall’interessato istante e dagli altri interessati da esso ricompresi nella richiesta, la stessa è stata trasmessa all’Amministratore Unico appena insediato. Pur nella coscienza di non poter procedere ad un giudizio di merito in ordine alla pretestuosità o alla giustificatezza dell’istanza, ma solo eventualmente, in ordine alla impossibilità di identificare correttamente. l’interessato, o in ordine alla opportunità di rifiutare di soddisfare una istanza manifestatamente infondata o eccessiva o richiedere un contributo spese, giova qui rilevare (al solo fine di valutare l’elemento oggettivo che ha determinato il ritardo nella risposta) che l’interessato, visto il ruolo da esso stesso ricoperto sino a qualche giorno prima di procedere con l’istanza, avrebbe potuto agevolmente ottenere in piena autonomia gli elementi e le informazioni oggetto di richiesta. Il Titolare del trattamento ha dovuto pertanto vagliare ogni aspetto, anche di tipo civilistico e penale, prima di dar seguito alle richieste dell’interessato;

- Tutte le richieste sono state accolte e concluse prima della notifica del reclamo da parte dell’Autorità Garante, pervenuto alla Società in data 22 luglio 2024. In particolare il verbale di consegna ai tre richiedenti della copia delle caselle email è datato 20 giugno 2024. Da rilevare che, come previsto dalla normativa e ribadito in molteplici provvedimenti di Codesta Spett.le Autorità, le caselle sono state debitamente disattivate e tenute segregate per un limitato periodo di tempo. Il Titolare del trattamento non ha effettuato alcun accesso alle stesse tra la data di disattivazione e la data di cancellazione, richiesta esplicitamente dagli interessati;

- Nel corso del 2024, il Titolare del trattamento ha provveduto a nominare un nuovo Responsabile per la Protezione dei dati personali. Il Titolare, con il supporto del RPD, ha altresì redatto una nuova procedura strutturata per la gestione delle richieste di esercizio dei diritti degli interessati che prevede un processo articolato di gestione e risposta alle istanze, affidando una serie di compiti a diversi soggetti al fine di rispettare la normativa. La procedura per la gestione delle richieste dell’interessato definisce in dettaglio la veicolazione delle istanze in un flusso informativo che prevede l’assegnazione dei compiti per la risposta e la registrazione delle istanze gestite in un apposito registro. Nel corso dell’anno sono state inoltre effettuate, sempre col il supporto del RPD, una serie di sessioni di formazione in presenza a favore del personale amministrativo operante nella Società. La formazione ha avuto ad oggetto la normativa in materia di trattamento di dati personali, compresa l’analisi dei diritti che il Regolamento riserva agli interessati, gli obblighi previsti dall’articolo 12 e i compiti attribuiti dalla procedura aziendale”.

Il presente 

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento (che ha riguardato esclusivamente gli aspetti relativi all’esercizio dei diritti dell’interessato in nonché della documentazione acquisita, risulta che la Società, in qualità di titolare del trattamento, non ha tempestivamente dato riscontro alla richiesta di accesso ai propri dati personali formulata dalla reclamante ai sensi degli artt. da 15 a 22 del Regolamento, in violazione dell’art. 12, par. 3, del Regolamento stesso e non ha informato l’istante, entro il termine di un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo un'autorità di controllo e di proporre ricorso giurisdizionale, in violazione dell’art. 12, par. 4, del Regolamento.

In proposito si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”. 

4. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi di cui all’art. 58, par. 2, del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Risulta, quindi, accertato che la condotta posta in essere dalla Società, con riferimento al mancato riscontro all’istanza di accesso presentata dal reclamante, è illecita, nei termini su esposti, in relazione agli artt. 12, par. 3 e 4 del Regolamento.

Valutati tutti gli elementi acquisiti nell’ambito dell’istruttoria e le peculiari circostanze del caso, si ritiene tuttavia che la violazione, accertata nei termini anzidetti, possa essere considerata “minore” (v. art. 83, par. 2 e Cons. 148 del Regolamento), tenuto conto, in particolare:

- del carattere colposo della condotta posta in essere dalla Società; 

- il numero di interessati coinvolti (uno);

- l’assenza di precedenti violazioni a carico della Società;

- delle procedure messe in campo dalla Società per evitali simili evenienze in futuro.

Tenuto conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento.

Si rileva, inoltre, che ricorrono i presupposti per l’annotazione della violazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento (art. 17 del Regolamento del Garante n. 1/2019).

Si informa, infine, che come da disposizioni normative e regolamentari dell’Ufficio (art. 154-bis, comma 3, del Codice; art. 37 del Regolamento del Garante n. 1/2019), copia del presente provvedimento verrà pubblicata sul sito web del Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Cogesa S.p.a., con sede legale in Via Vicenne, Loc. Noce Mattei, - Sulmona (AQ) cap 67039, P.I. 01400150668, ai sensi degli artt. 12, par. 3 e 4 del Regolamento; 

ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce Cogesa S.p.a., quale titolare del trattamento in questione, per aver effettuato un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali; 

DISPONE

a) ai sensi dell’art. 154-bis, comma 3, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante.

b) in conformità all’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione della violazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori