[doc. web n. 10210098]

Provvedimento del 4 dicembre 2025

Registro dei provvedimenti
n. 736 del 4 dicembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Luigi Montuori, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo

Con il reclamo in epigrafe, la sig.ra XX, per il tramite del proprio legale, ha lamentato di aver esercitato i diritti di cui agli artt. da 15 a 22 del Regolamento nei confronti della dott.ssa XX e di non avere ricevuto alcun riscontro.

In particolare la reclamante ha rappresentato di aver esercitato il diritto di accesso ai dati personali di cui all’art. 15 del Regolamento, in data XX, con riferimento ai propri dati personali e a quelli delle figlie contenuti in un parere a firma della citata dottoressa, depositato dall’ex marito della reclamante medesima, nel corso di un procedimento civile promosso da quest’ultima avanti il Tribunale di XX, conclusosi con provvedimento nell’XX.

2. L’attività istruttoria e le valutazioni dell’Ufficio. Avvio del procedimento sanzionatorio

A seguito di tale reclamo l’Autorità, con nota del XX (prot. n. XX) ha invitato la dott.ssa XX, quale titolare del trattamento, a fornire riscontro all’istanza di cui all’art. 15 del Regolamento, sulla base del regolamento n. 1/2019 dell’Autorità scrivente.

Con nota del XX, la citata professionista ha fornito riscontro alla reclamante e all’Autorità, rappresentando, fra altro che:

“(…) Il sig. XX si è rivolto alla scrivente professionista al fine di ricevere un parere pro veritate da utilizzare unicamente nell’ambito del giudizio all’epoca pendente avanti il Tribunale di XX per finalità meramente difensive, essendo stato il predetto convenuto nell’indicato giudizio dalla ex moglie che ha promosso azione ex art. 316 c.c. La documentazione sanitaria afferente le figlie minori, esaminata ed utilizzata per redigere l’indicato parere pro veritate è unicamente quella prodotta nell’indicato giudizio avanti il Tribunale di XX. In particolare, come si evince dalla prima pagina del parere pro veritate questo è stato redatto per fornire al cliente informazioni e confutare tecnicamente il contenuto della certificazione del dott. XX della NPI (neuropsichiatria infantile) di XX, documento regolarmente depositato nel fascicolo giudiziario (…). Il parere pro veritate si è sostanziato nell’esame di tale certificato del dott. XX con ricerca e studio della letteratura specialistica per chiarire al cliente la situazione sottoposta alla scrivente professionista. Ovviamente per redigere con completezza e professionalità il parere pro veritate ho analizzato il contenuto degli atti e dei documenti prodotti nel giudizio indicato e precisamente:

- quando alla pagina 3 mi riferisco alla “documentazione sanitaria esaminata” intendo riferirmi ai seguenti documenti depositati nell’indicato giudizio: valutazione psicodiagnostica (…)  e certificati medici del dott. XX del XX, XX, XX (…).  

- Quando alla pagina 1 mi riferisco alla “documentazione relativa alla complessa vicenda familiare e giudiziaria che lo interessa ormai da circa 12 anni” intendo riferirmi ai seguenti documenti depositati nell’indicato giudizio (…) che ho analizzato per poter assolvere all’incarico con completezza e professionalità: sentenza di separazione del Tribunale di XX, sentenza di appello della separazione, sentenza di divorzio del Tribunale di XX ed il ricorso ex art. 316 c.c. promosso dalla (…) (attuale reclamante)”;

“Per quanto riguarda infine il riferimento ai messaggi vocali (pag. 5 parere pro veritate) nella perizia pro veritate non è indicato che questi sono stati ascoltati dalla scrivente, ma si precisa che sono stati riferiti alla sottoscritta dal sig. XX, in occasione delle sessioni con questo avvenute nel mio studio per esaminare compiutamente la situazione finalizzata alla redazione del parere pro veritate”;  

“(…) Per quanto riguarda i messaggi vocali riferiti alla sottoscritta dal sig. XX si ritiene che alcun consenso all’acquisizione dei dati, al trattamento degli stessi debba essere soggetto a preventiva autorizzazione da parte della scrivente professionista. Infatti, anche qualora tali messaggi siano stati registrati, ciò non è stato fatto dalla scrivente a cui è stato riportato il contenuto dal sig. XX e ciò è assimilabile alla mera enunciazione di un fatto storico, anch’esso da inserire nel contesto finalizzato alla redazione del parere pro veritate da utilizzare e prodotto esclusivamente nel giudizio che vede coinvolto il proprio cliente (…) e la ex moglie (…)”;  

“(…) Per concludere preme significare che il mancato riscontro alla istanza avanzata dalla (…) (interessata, attuale reclamante) è dipeso da mera dimenticanza, ma non per sottrarsi alle richieste avanzate, come dimostra la redazione della presente risposta. La scrivente si rende disponibile a qualsiasi ulteriore chiarimento e/o informazione ed altresì ad essere ascoltata con audizione personale dal Garante per la protezione dei dati personali”.

A seguito di tale riscontro, l’Ufficio, ha disposto l’archiviazione parziale del reclamo con note del XX (prot. n. XX, indirizzata alla titolare e prot. XX, indirizzata alla reclamante) in ordine al trattamento dei dati personali e relativi alla salute della reclamante e di quelli riguardanti le proprie figlie (art. 9, par. 2, lett. f) del Regolamento) effettuato da parte della titolare nella redazione del sopra citato parere, con nota del XX (prot. n. XX), sulla base della documentazione in atti e delle dichiarazioni fornite, ha ritenuto che la dott.ssa XX avesse posto in essere una condotta in violazione dell’art. 12, in relazione all’art. 15 del Regolamento, non avendo fornito riscontro all’istanza di accesso ai dati personali presentata dall’interessata.  

In data XX la titolare del trattamento ha inviato una memoria difensiva, rappresentando, fra altro, che:

“nel periodo in questione la sottoscritta si trovava a XX per le lezioni del corso di psicologia sociale, iniziato a XX e terminato il XX. Si è trattato inoltre del primo anno accademico di cattedra presso la Università di XX, con circa 1500 studenti iscritti al corso di psicologia sociale del quale sono unico professore, con lezioni di 12-14 ore settimanali, ed impegno nella gestione del ricevimento studenti, riunioni di dipartimento, nonché l’assistenza alla redazione delle tesi di laurea di quasi 80 studenti che “colloquiano” con la sottoscritta anche con email, che possono arrivare ad essere anche 40 al giorno. Contemporaneamente sono stata impegnata in due progetti di ricerca PRIN piuttosto articolati e complessi, finanziati dall’Unione Europea e gestiti dal Ministero della Ricerca e dell’Università Mapping Social Emotional Learning and School Climate in Italian Lower Secondary Schools e come referente di progetto nella raccolta dati di oltre 500 partecipanti per uno studio sulla suggestionabilità con il prof. (…). In tale contesto ho dimenticato di rispondere alla richiesta ex art. 15 GDPR inoltrata dal legale della sig.ra XX; tra l’altro tale richiesta non indica il termine preciso di adempimento, ma un generico riferimento “ai termini previsti dalla normativa di riferimento” (pag. 3 richiesta sig.ra XX), per cui anche tale circostanza non mi ha agevolato nel ricordo, se vi fosse stata l’indicazione di un termine preciso sicuramente l’avrei calendarizzato e non dimenticato. La mancata risposta è quindi dipesa da una mera dimenticanza e non di certo per un comportamento volontario ed ostruzionista, o per celare alcunché. La sottoscritta ha infatti risposto tempestivamente al reclamo inoltrato, fornendo ogni informazione e notizia inviata in data XX sia a Voi che all’avvocato della sig.ra XX”;  

“Tenuto conto di quanto esposto, anche al fine del rispetto del principio di proporzionalità, si ritiene che il mancato riscontro entro i termini di cui all’art. 12 del Regolamento dovuto a mera incolpevole o comunque giustificata dimenticanza, l’assenza di precedenti e l’esito del reclamo inoltrato, debbano portare alla archiviazione totale del presente procedimento”.

In data XX si è svolta l’Audizione richiesta dalla titolare del trattamento, nel corso della quale quest’ultima ha dichiarato che:

“(…) si precisa che il mancato riscontro alla istanza di esercizio del diritto di accesso ai dati presentata dall’interessata non è stato un atto intenzionale, ma determinato dalla situazione di grande impegno lavorativo e professionale nella quale mi sono trovata. Infatti, in quel periodo avevo da poco iniziato lo svolgimento del ruolo di professore universitario associato e mi sono trovata ad affrontare, per la prima volta, un grande carico didattico (circa 1500 studenti), nonché molti adempimenti amministrativi correlati a tale incarico che non avevo mai affrontato prima (preparazione di lezioni, email da gestire, aggiornamenti, ricevimento studenti, relazioni, assistenza per la preparazione di tesi di laurea, gestione dei fondi economici, cura di pubblicazioni, progetti di ricerca, anche in collaborazione con altre università). Inoltre, non essendo indicato un termine nella richiesta dell’interessata, sopraffatta da tali adempimenti, il tempo è trascorso senza che me ne rendessi conto. Non si è quindi trattato di scarsa attenzione in quanto, invece, non appena ricevuto l’invito ad aderire del Garante, ho provveduto a riscontrare con solerzia e dettagliatamente nei termini”.

3. Esito dell’attività istruttoria

Preso atto di quanto rappresentato nella documentazione in atti e nella memoria difensiva, evidenziando che il trattamento dei dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice, si osserva quanto segue.

In tema di informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato, l’art. 12, par. 3, del Regolamento stabilisce che il titolare del trattamento debba dare riscontro alla richiesta dell’interessato, avanzata ai sensi degli artt. da 15 a 22 del Regolamento, senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste, fermo restando che l’interessato deve essere informato di tale proroga e dei motivi del ritardo entro un mese dal ricevimento della richiesta.

Ove il titolare non ottemperi alla richiesta dell'interessato, il titolare del trattamento deve, in ogni caso, informare l'interessato senza ritardo e, al più tardi, entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’Autorità di controllo e di proporre ricorso giurisdizionale (cons. 59 e art. 12, par. 4, del Regolamento).

Nel caso di istanza avanzata ai sensi dell’art. 15 del Regolamento, l’interessato ha diritto di chiedere al titolare del trattamento e di ottenere nei termini sopra indicati, qualora ne ricorrano i presupposti, la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano, nonché l’accesso ai dati personali e alle informazioni di cui ai parr. 1 (lettere da a) ad h)) e 2, del medesimo articolo 15.

Sulla base degli atti e delle valutazioni dell’Ufficio, la titolare del trattamento non ha fornito riscontro, nei termini previsti dall’art. 12 del Regolamento, all’istanza di cui all’art. 15 del Regolamento avanzata il XX, ma solo in data XX, a seguito dell’invito ad aderire formulato dall’Autorità con nota del XX (prot. n. XX).

4. Conclusioni.

Alla luce delle considerazioni sopra richiamate, tenuto conto delle dichiarazioni rese dalla titolare del trattamento nel corso dell’istruttoria – e, considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante” - gli elementi forniti dalla titolare del trattamento nella memoria difensiva sopra richiamata, seppure meritevoli di considerazione, non risultano idonei a superare i rilievi notificati dall’Ufficio con il richiamato atto di avvio del procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Infatti, contrariamente a quanto sostenuto dalla titolare del trattamento, non può escludersi la responsabilità per la condotta omissiva tenuta da quest’ultima nella vicenda in questione in quanto, sebbene tale condotta non è risultata intenzionale, poteva, tuttavia, scongiurarsi attraverso l’osservanza degli obblighi di diligenza (cfr. in tal senso il documento “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679” - Adottate il 3 ottobre 2017 - WP 253 - Capitolo III “Criteri di valutazione di cui all’art. 83, par. 2”, paragrafo b) “Carattere doloso o colposo della violazione”).

Pertanto, alla luce della documentazione in atti e delle dichiarazioni rese, in relazione alla vicenda in questione, è accertata la condotta omissiva della titolare del trattamento a fronte della richiesta di esercizio dei diritti dell’interessata, avanzata in data XX, in violazione dell’art. 12 del Regolamento in relazione all’art. 15 del Regolamento medesimo.

Non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento, tenendo conto che la condotta ha esaurito i suoi effetti, per aver il titolare fornito riscontro all’interessata.

Tenuto conto che:

-  dalle risultanze degli atti, il reclamo risulta essere l’unico pervenuto e la condotta della titolare del trattamento, sotto il profilo psicologico, priva di dolo;

- la responsabilità è riconducibile a un grado di colpa da valutarsi come lieve alla luce degli elementi che connotano la vicenda;

-  la titolare del trattamento ha fornito riscontro all’interessata, attuale reclamante;

- non risultano precedenti violazioni pertinenti commesse dalla titolare del trattamento

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal “Gruppo di Lavoro Art. 29” il 3 ottobre 2017, WP 253 e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.

Si ritiene, pertanto, che nel caso di specie, sia sufficiente ammonire la titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b) e 83, par. 2, del Regolamento.

Ricorrono, altresì, i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Infine, una copia del presente provvedimento è pubblicata sul sito web della scrivente Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. a), del Regolamento, l’illiceità del trattamento effettuato dalla dott.ssa XX nata a XX il XX, codice fiscale XX per la violazione dell’art. 12, in relazione all’art. 15 del Regolamento nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, ammonisce la predetta titolare del trattamento per la violazione di cui sopra;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019;

d) ai sensi dell’art. 154-bis, comma 3, del Codice dispone la pubblicazione del provvedimento sul sito del Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 4 dicembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori