[doc. web n. 10174482]

Provvedimento del 17 luglio 2025

Registro dei provvedimenti
n. 428 del 17 luglio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTI i reclami presentati dalla sig.ra XX e dalla sig.ra XX, ai sensi dell’art. 77 del Regolamento con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte del dott. Cipolla;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. I reclami presentati e l’avvio dell’attività istruttoria.

Con i reclami presentati in data 24/10/2023 e in data 18/01/2023 (regolarizzato il 19/01/2024), le signore XX e XX hanno rappresentato a questa Autorità di aver presentato, rispettivamente in data 11/09/2023 e in data 13/09/2023, un’istanza di esercizio dei diritti nei confronti del dott. Paolo Cipolla, titolare della farmacia presso cui avevano prestato attività lavorativa, fino alle dimissioni volontarie presentate, al fine di ricevere copia del LUL e dei prospetti paga. Le istanze, regolarmente notificate all’indirizzo pec del titolare, non ricevevano riscontro nei termini previsti dalla normativa.
Pertanto, con le note datate 08/11/2023 e 24/01/2024, l’Autorità avviava l’istruttoria preliminare, invitando il titolare del trattamento a fornire osservazioni in ordine a quanto lamentato e ad aderire alle richieste delle reclamanti.

Considerato che entrambe le richieste, regolarmente notificate all’indirizzo pec del farmacista, non ricevevano riscontro, venivano reiterate in data 12/03/2024 e 04/03/2024, ai sensi dell’art. 157 del Codice, con l’indicazione del termine entro cui adempiere e delle conseguenze connesse al mancato riscontro.

A fronte del mancato riscontro anche a tali ultime richieste di informazioni, l’Ufficio delegava il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza a procedere alla notifica di una nuova richiesta di informazioni, anch’essa formulata ai sensi dell’art. 157 del Codice, e dell’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, in relazione alla violazione dell’art. 157 del Codice stesso (nota del 12/04/2024).

Entrambi gli atti venivano notificati alla parte, in data 20/06/2024, come risulta dal verbale di operazioni compiute redatto dal Nucleo in pari data.  

In occasione dell’accertamento ispettivo, la parte dichiarava che:

-    “Non ho fornito riscontro alla richiesta della [reclamante] come del resto a quelle formulate da tutti gli altri dipendenti che anche in precedenza hanno deciso di abbandonare l’attività lavorativa, in quanto per tutti era già in essere, attraverso l’attivazione del mio legale (…) una conciliazione monocratica, quindi, come prassi, non consegnare immediatamente le buste paga e i documenti richiesti, che sapevo sarebbero stati consegnati al momento della conciliazione, mi ha concesso del tempo per raggiungere, come auspicavo e si è verificato, un accordo stragiudiziale con le parti”;

-    “il motivo per cui non c’è stata una mia risposta alle richieste di informazioni del Garante è che credevo che, raggiunte le conciliazioni, in data precedente alle richieste del Garante, non ce ne fosse bisogno, o che, una volta ricevuta la documentazione attraverso la conciliazione, le dipendenti stesse provvedessero a comunicarlo o a ritirare le loro istanze”.   

Per quanto sopra, l’Ufficio provvedeva a notificare alla parte l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, del Codice, in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento (nota del 26/08/2024).

La parte, nonostante sia stata informata dall’Ufficio della possibilità di produrre scritti difensivi o documenti in relazione ai procedimenti sanzionatori a suo carico, non faceva pervenire alcuna osservazione al riguardo.

2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi.

All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte, nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, risulta accertato quanto segue.

2.1. Violazione dell’art. 157 del Codice.

In primo luogo, occorre rilevare che la parte ha omesso di fornire riscontro a quattro richieste di informazioni formulate dall’Autorità: le prime due recavano l’invito ad aderire alle richieste degli interessati, volte a ricevere la copia dei dati personali riferiti al rapporto di lavoro che si era da poco interrotto (note dell’08/11/2023 e del 24/01/2024); le seconde note contenevano una richiesta di informazioni, formulata ai sensi dell’art. 157 del Codice, con le quali si rinnovava l’invito a far pervenire all’Ufficio, entro 20 giorni dal loro ricevimento, un riscontro alle richieste già formulate con le precedenti note.  

Queste ultime note risultano regolarmente notificate all’indirizzo pec, come risulta dalle ricevute di avvenuta consegna agli atti del procedimento (note del 04/03/2024 e del 12/03/2024) e contenevano espressamente l’avvertimento che “in caso di inottemperanza alla presente richiesta, sarà applicata la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 5, del Codice”.

Sulla base di quanto dichiarato nel corso dell’istruttoria, le richieste di informazioni non sono state riscontrate sul presupposto che “non ce ne fosse bisogno”, visti i contatti già avviati dal proprio legale direttamente con le interessate.

Tuttavia, le argomentazioni che riguardano la risoluzione delle controversie attraverso l’atto di transazione non possono ritenersi idonee ad escludere la responsabilità della parte. Infatti, la reiterazione delle richieste inviate dall’Autorità e le chiare indicazioni in esse contenute non lasciavano dubbi in ordine alla necessità di fornire all’Autorità un riscontro circa i fatti che potevano essere conosciuti solo dal titolare del trattamento.

Tra l’altro, la parte non ha nemmeno raccolto l’invito, formalmente contenuto nella prima comunicazione, a contattare l’Ufficio per ogni eventuale chiarimento.

Vista, quindi, l’assenza di qualsiasi riscontro da parte del sig. Cipolla alle predette richieste del Garante, si è reso necessario chiedere il coinvolgimento del Nucleo privacy della Guardia di finanza, incaricato di notificare un’ulteriore richiesta di informazioni e di raccogliere gli elementi istruttori, con conseguente notevole aggravio del procedimento in termini di costi e di tempi.

2.2. Violazione degli artt. 12, par. 3, e 15 del Regolamento.

Sulla base delle risultanze istruttorie svolte dall’Ufficio, è risultato che i dati personali oggetto delle istanze di esercizio dei diritti sono stati consegnati alle interessate solo in occasione della conciliazione avvenuta presso la sede territoriale dell’Ispettorato a gennaio 2024, nonostante le stesse fossero state formulate a settembre 2023.

Rispetto alla condotta sopra descritta, si osserva che in capo al titolare del trattamento sussiste l’obbligo di fornire riscontro alle istanze di esercizio dei diritti (tra cui il diritto di accesso ex art. 15 del Regolamento) presentate dall’interessato entro il termine indicato dall’art. 12, par. 3, del Regolamento.

La norma prevede anche che, qualora il titolare non possa ottemperare alla richiesta, deve informare l’interessato senza ritardo e comunque entro un mese dal ricevimento dell’istanza in merito ai “motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, del Regolamento).

Si rileva come, nel caso di specie, l’accesso ai dati personali sia stato consentito alle reclamanti, oltre il termine previsto dalla normativa e come il titolare non abbia dato loro nessuna informazione riguardo alla possibilità, pure accordata dalla normativa, di differire l’accesso a un momento successivo.

Pertanto, devono confermarsi gli addebiti sollevati con l’atto di avvio del procedimento sanzionatorio e confermare la violazione degli artt. 12, par. 3 e 15 del Regolamento.

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ai sensi dell’art. 58, par. 2, del Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

I trattamenti posti in essere dal dott. Paolo Cipolla, con riferimento al mancato riscontro alla richiesta di informazioni dell’Autorità e all’istanza di esercizio dei diritti degli interessati, risultano illeciti, nei termini su esposti, in relazione agli artt. 157 del Codice, 12, par. 3, e 15 del Regolamento.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento si prende atto della circostanza che la parte ha provveduto a consegnare alle istanti i dati e le informazioni personali oggetto delle istanze di esercizio dei diritti.

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Paolo Cipolla, C.F. XX, residente a XX, in qualità di titolare del trattamento, per la violazione degli artt. 157 del Codice, 12, par. 3, e 15 del Regolamento;

[OMISSIS]

DISPONE

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web dell’Autorità;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 17 luglio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE REGGENTE
Filippi