[doc. web n. 10255164]

Provvedimento del 29 aprile 2026

Registro dei provvedimenti
n. 311 del 29 aprile 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, e il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dalla Sig.ra XX nei confronti di Pianeta s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’istruttoria dell’Ufficio sui fatti oggetto di reclamo. 

In data 21 aprile 2023, la sig.ra XX ha presentato un reclamo, ai sensi dell’art. 77 del Regolamento nei confronti di Pianeta s.r.l. (di seguito, la Società), con il quale sono state lamentate presunte violazioni del Regolamento e, in particolare, l’illecito trattamento dei dati relativi alla reclamante – con riferimento alla Carta Insieme Conad -, nell’ambito della contestazione disciplinare rivolta alla stessa, poi culminata nel licenziamento, e l’assenza di riscontro all’istanza di esercizio dei diritti del 15 febbraio 2023. 

In data 3 gennaio 2024, l’Ufficio ha inviato una richiesta di informazioni ai sensi dell’art. 157 del Codice alla Società. 
In data 9 febbraio 2024, la Società ha inviato il proprio riscontro e in tale occasione ha rappresentato che: 

- “in data 17 gennaio 2023 la [reclamante] è stata licenziata per giusta causa dalla società Pianeta S.r.l.” (v. nota 9/02/2024 cit., p. 1); 

- “il trattamento dei dati personali derivante dalla gestione della carta di fidelizzazione è distinto da quello che ha portato al licenziamento della Reclamante. Nella gestione della carta di fidelizzazione Conad Adriatico Soc. Coop. è il Titolare del trattamento e Pianeta srl è Responsabile del trattamento […]. Nel procedimento che ha portato alla sanzione disciplinare della Reclamante, il Titolare del trattamento è Pianeta Srl nella qualità di datore di lavoro” (v. nota cit., p. 2); 

- “l’unico punto di «contatto» tra i due trattamenti lo si può ritrovare nei fatti che hanno permesso alla Pianeta Srl di avere evidenza dei comportamenti lesivi, tra gli altri, degli obblighi che il Codice Civile impone al dipendente nell’esercizio della sua prestazione lavorativa” (v. nota cit., p. 2); 

- “la fattispecie oggetto del provvedimento disciplinare è originata dall’utilizzo improprio della Carta Insieme Conad da parte d[e]lla [reclamante]” (v. nota cit., p. 2);

- “la Reclamante, che sino alla data della cessazione del rapporto di lavoro ha svolto l’attività di cassiera presso il punto vendita di proprietà della Pianeta S.r.l., secondo quanto riscontrato da questa società, ha utilizzato per diversi mesi una Carta Insieme Conad anonima, senza indicare i riferimenti anagrafici dell’intestatario della carta stessa. Tale Carta Insieme Conad era stata prelevata presso il box informazioni del punto vendita dove lavorava la Reclamante” (v. nota cit., p. 2, 3);

- “dalle verifiche effettuate è stato accertato che la Reclamante, in qualità di cassiera, ha utilizzato la carta anonima sia per il passaggio della spesa di terzi, sia per ritirare una serie di premi, riservati invece a chi, titolare di carta fedeltà, avesse accumulato punti sulla carta e avesse completato la relativa scheda, con bollini da ricevere ogni €. 15,00 di spesa” (v. nota cit., p. 3);

- “tali fatti non sarebbero probabilmente emersi se non fosse che in data 10.10.2022, un cliente, ha posto un reclamo al box informazioni lamentando la mancata applicazione dello sconto del 10% sulla spesa effettuata in forza di una convenzione in essere con la sua azienda. La Pianeta Srl ha approfondito quanto stesse accadendo, verificando che in quell’occasione era stata utilizzata la carta anonima in possesso della [reclamante], cosa che era avvenuta molte altre volte, sia per ritirare i premi, sia per il passaggio spesa” (v. nota cit., p. 3);

- “la Pianeta S.r.l., sulla base delle verifiche effettuate, ha potuto osservare come il passaggio della carta fidelity anonima coincideva con il turno di lavoro della Reclamante e che le somme di danaro, ad integrazione dei punti cumulati sulla medesima Carta Insieme Conad anonima per tutti i premi ritirati, erano state pagate mediante l’utilizzo di una carta di credito intestata alla Reclamante stessa. Tale ultima informazione è derivata dal fatto che la Ricorrente aveva utilizzato la stessa carta di credito per pagare la differenza economica per ritirare i premi richiesti con i punti accumulati sulla carta fedeltà ad essa intestata” (v. nota cit., p. 3);

- “ponendo la Reclamante in essere tale modus operandi, la Pianeta S.r.l. ha provveduto ad inviare una lettera di contestazione, riportando tutte le operazioni effettuate in maniera impropria con tale carta fedeltà anonima che era stata utilizzata sia per il passaggio della spesa di terzi, sia per ritirare una lunga serie di premi riservati a chi, legittimo titolare di carta fedeltà, avesse effettuato acquisti presso il punto vendita della Pianeta S.r.l. Dalle verifiche effettuate si è potuto accertare che la Reclamante ha anche utilizzato indebitamente la carta fedeltà di un’altra persona, avente diritto ad una specifica convenzione, pagando sempre con la medesima carta di credito a Lei intestata” (v. nota cit., p. 3, 4);

- “si ritiene che alla luce di quanto segnalato, sia stata attuata una grave violazione del Regolamento del Servizio Carta di Fidelizzazione. Innanzitutto, il Cliente può essere titolare di una sola carta che deve essere espressamente intestata ad una persona fisica. Nel caso di specie la Reclamante, proprio perché già titolare di una carta fidelity, ha provveduto ad appropriarsi di una carta anonima al fine di realizzare condotte contrarie alla buona fede e in violazione del Regolamento per l’adesione alla carta di fidelizzazione” (v. nota cit., p. 4);

- “come specificato nel punto 4 del Regolamento […], la carta fidelity non può essere ceduta a terzi, il suo utilizzo è riservato esclusivamente al titolare della carta stessa e ad i suoi familiari” (v. nota cit., p. 4); 

- “sulla base del codice disciplinare e del regolamento aziendale il personale deve tenere una «condotta costantemente uniformata ai principi di rispetto, correttezza, moralità, dignità e solidarietà nei confronti dei colleghi e dei responsabili aziendali», tutti punti venuti meno a seguito del comportamento scorretto della [reclamante]. […] Nel caso specifico sono sicuramente conosciute da ogni dipendente di Pianeta S.r.l. in quanto tale regolamento e codice disciplinare sono stati consegnati a tutti i lavoratori ed affissi regolarmente nelle bacheche aziendali” (v. nota cit., p. 4, 5); 

- “è evidente il mancato rispetto delle procedure e dell’illecito comportamento finalizzato a trarne un vantaggio personale a danno del datore di lavoro che è stato legittimato a tutelare il proprio patrimonio ai sensi e con le modalità previste dalla normativa applicabile” (v. nota cit., p. 5); 

- “[le] informazioni [relative alla reclamante che sono state poste a fondamento della contestazione disciplinare del 21 dicembre 2022] sono state acquisite in occasione dell’indagine che la Pianeta Srl ha attivato a seguito di una segnalazione di disservizio formalizzata da un cliente” (v. nota cit., p. 5); 

- “rispetto a ciò che concerne l’informativa sul trattamento dei dati personali, ex art. 13 del Regolamento UE 679/2016, essa viene fornita ad ogni cliente contestualmente al modulo di richiesta della Carta Insieme Conad e al relativo regolamento. Tale documento […] fornisce tutte le informazioni previste dal Regolamento UE 679/2016 rispetto al trattamento dei dati personali forniti dal cliente in fase di richiesta della carta e in occasione del suo utilizzo. In particolare, viene indicata la base giuridica che legittima i vari trattamenti indicati. La Reclamante, nella sua qualità di cliente, ha ricevuto l’informativa al momento della richiesta della carta di fidelizzazione a lei intestata” (v. nota cit., p. 5); 

- “tra le finalità del trattamento essa prevede che i dati potranno essere trattati «in virtù del proprio legittimo interesse ad accertare, esercitare o difendere un proprio diritto in sede giudiziaria». Inoltre, ai sensi del Regolamento del Servizio Carta di Fidelizzazione, consegnato sempre all’atto della richiesta della carta, il cliente deve utilizzare la carta solo per gli «usi prescritti» e «la Società Emittente può verificare in ogni momento la regolarità dell’utilizzo della carta di fidelizzazione ed ha la facoltà di disabilitare temporaneamente senza preavviso e/o revocare definitivamente la carta di fidelizzazione. Costituisce giusta causa di revoca, il fondato sospetto di utilizzo illecito o, comunque, irregolare e/o non autorizzato della carta di fidelizzazione stessa, anche ai sensi del presente Regolamento» (sub 5.1 del regolamento)” (v. nota cit., p. 5, 6); 

- “nell’esercizio di queste facoltà la Pianeta S.r.l. ha potuto constatare che l’utilizzo improprio della carta era realizzato dalla Reclamante. Solo all’esito di ciò è stato incardinato il procedimento disciplinare” (v. nota cit., p. 5, 6);

- “rispetto ai ruoli soggettivi relativi al programma Carta Insieme Conad si specifica che il Titolare per i trattamenti indicati nell’informativa […], è Conad Adriatico Soc. Coop. La società Pianeta S.r.l. agisce in qualità di Responsabile del trattamento ex art 28 del Regolamento 679/2016, con nomina adeguatamente predisposta e sottoscritta” (v. nota cit., p. 6);

- “la Pianeta S.r.l. inviava alla [reclamante] lettera di contestazione di addebiti di natura disciplinare con sospensione cautelare, in data 21 dicembre 2022 […]. In data 03/01/2023 la CGIL di Chieti […], nell’interesse dell’iscritta [reclamante], visto l’avvio del procedimento disciplinare, lo contestava in quanto ritenuto destituito e privo di ogni fondamento e, in aggiunta, adduceva un illecito trattamento dei dati personali chiedendo una serie di informazioni ai sensi del Regolamento UE 679/2016. In data 01/02/2023, per dare seguito a tali richieste, la Società Pianeta S.r.l. forniva […] le risposte ad ogni domanda posta dalla CGIL di Chieti per conto della [reclamante]” (v. nota cit., p. 6, 7);

- “successivamente, in data 15 febbraio 2023, la CGIL di Chieti per conto della Reclamante provvedeva ad inoltrare nuova istanza […] alla Società in epigrafe, al fine di ribadire quanto precedentemente detto. Ciò nonostante che, con riscontro del 01/02/2023, fosse già stata data specifica risposta in merito ad ogni punto della richiesta della Reclamante e che gli altri elementi oggetto della richiesta fossero stati puntualmente messi a conoscenza della Reclamante con la lettera di contestazione di addebito di natura disciplinare con sospensione cautelare datata 21 dicembre 2022” (v. nota cit., p. 7);

- “la Pianeta S.r.l., ritenuto che: -le risposte erano già state ampiamente conferite con riscontro del 01/02/2023; -le richieste erano ripetitive rispetto a quelle formulate con istanza del 03/01/2023 e/o chiaramente desumibili dalla lettera di contestazione del 21/12/2022; -la richiesta di blocco del trattamento, di cancellazione e di conservazione dei dati non potevano essere accolte stante la fase di precontenzioso in essere; ha valutato di non dover dare un ulteriore riscontro alla istanza inviata dalla CGIL di Chieti in data 15 febbraio 2023. Da evidenziare, inoltre, che nelle more della scadenza dei termini per il riscontro, veniva incardinato il procedimento giuslavoristico” (v. nota cit., p. 7).

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della Società. 

Il 5 giugno 2024, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione delle presunte violazioni del Regolamento nei confronti della Società, con riferimento agli artt. 5, par. 1 lett. a), b), 6, 12, 13, 14, 15, 17, 28, par. 3, del Regolamento, per avere trattato i dati relativi al programma legato alla carta di fidelizzazione Conad, utilizzata dalla reclamante, per effettuare una contestazione disciplinare, nonché per non avere fornito alcun riscontro all’istanza di esercizio dei diritti presentata dalla reclamante, in data 15 febbraio 2023.  

Con scritti difensivi, inviati in data 20 giugno 2024, la Società ha rappresentato che:

- “Pianeta S.r.l., stante l’evidenza di un anomalo utilizzo di una carta fedeltà anonima, ha attivato una verifica su transazioni che in alcun modo erano riferibili ad alcuna persona fisica” (v. nota del 20/06/2024, p. 1);

- “tale attività è stata realizzata dalla Pianeta Srl non in violazione dell’art. 28, comma 3, del GDPR […] ma nel pieno rispetto di quanto specificato nel punto 4 del Regolamento di utilizzo della carta fedeltà […] in cui si precisa che: “In caso di smarrimento, sottrazione o furto della carta di fidelizzazione, il Cliente deve darne comunicazione per iscritto alla Società Emittente oppure al punto di vendita di riferimento, in difetto della quale il Cliente sarà ritenuto responsabile di eventuali abusi di terzi” (v. nota cit., p. 2);

- “secondo quanto previsto dal punto 5 del Regolamento […], la società emittente (e per essa è da intendersi anche i responsabili del trattamento nominati) può verificare in ogni momento la regolarità dell’utilizzo della carta di fidelizzazione ed ha la facoltà di disabilitare la carta momentaneamente e senza preavviso” (v. nota cit., p. 2);

- “in virtù nell’anomala situazione riscontrata, la società Pianeta S.r.l. ha provveduto, legittimamente, in qualità di Responsabile, ad effettuare le opportune verifiche ed i dovuti controlli sulla base di quanto sancito dal Regolamento di utilizzo della carta fedeltà” (v. nota cit., p. 2);

- “accertato che l’utilizzo non consentito della carta anonima era posto in essere dalla reclamante e che la stessa aveva avuto un comportamento contrario al principio di buona fede e correttezza non solo in qualità di cliente, ma soprattutto in qualità di dipendente, la società in epigrafe, acquisiti legittimamente gli elementi necessari per assumere la decisione di attivare la procedura (cfr. Cass. n. 16598 del 20.06.2019), non poteva, nel rispetto e nei termini previsti dalla normativa giuslavoristica, esimersi dal procedere a formalizzare la dovuta contestazione come previsto dall’art. 7 della L. 300/70” (v. nota cit., p. 2);

- “è proprio in quel momento che Pianeta S.r.l., quale datore di lavoro e titolare del trattamento dei dati finalizzati alla gestione del rapporto di lavoro con la dipendente, ha inviato, in data 21/12/2022 […], a mezzo raccomandata a.r., la lettera avente ad oggetto la contestazione di addebiti di natura disciplinare con sospensione cautelare assolvendo anche all’obbligo di informare la dipendente ai sensi dell’art. 14 del Regolamento UE 679/2016 […] e nei termini previsti da questo articolo, al comma 3, lett. c. Tale contestazione contiene l’informazione alla reclamante in merito al trattamento dei dati effettuato per gestire l’anomalo utilizzo della tessera fedeltà che aveva permesso di risalire alla sua persona” (v. nota cit., p. 2);

- “con questa informativa ex art. 14 del GDPR l’Azienda, titolare del trattamento, ha fornito all’interessata tutte le informazioni relative alle caratteristiche essenziali del trattamento che non erano conosciute dalla stessa (art. 14, comma 5, lett. a): tra l’altro, i dati trattati, la provenienza dei medesimi dati e la finalità per i quali gli stessi sono stati oggetto di trattamento” (v. nota cit., pp. 2, 3);

- “la base giuridica del trattamento effettuato dalla Pianeta Srl in qualità di titolare del trattamento è rappresentata dall’art. 7, Legge 300/70” (v. nota cit., p. 3);

- con riferimento agli “elementi da fornire all’Autorità per le valutazioni di cui all’art. 83, par. 2 del Regolamento” si comunica che, con riguardo all’“art. 83, par. 2 lett. a)” “il trattamento è stato effettuato per effettuare la contestazione disciplinare alla reclamante nel rispetto della Legge 300/70 e del CCNL Terziario Commercio; ciò è avvenuto solo al momento in cui si è avuto evidenza che l’irregolare utilizzo della carta fedeltà era stato realizzato non da un generico cliente ma da una dipendente. L’evidenza ha posto la Pianeta Srl nel ruolo privacy di titolare del trattamento che doveva agire a tutela del proprio patrimonio e contestare, tra l’altro, anche la violazione del contratto di lavoro in essere tra le parti” (v. nota cit., p. 3);

- “l’operato dell’azienda non può essere considerato in violazione del diritto della reclamante in quanto: 1) tutte le informazioni da conferire alla reclamante/dipendente, sia ai sensi dell’art. 14 del GDPR che della Legge 300/70, le sono state prontamente e formalmente comunicate nei termini previsti dalle citate norme; 2) la violazione di un diritto deve essere valutata anche in considerazione del danno ingiusto che detto trattamento avrebbe arrecato all’interessata. Nel caso di specie è evidente che l’unica danneggiata risulta la Pianeta Srl a cui sono stati sistematicamente sottratti beni economicamente valutabili e che ha visto violato il principio di fedeltà e affidamento (di cui al Codice Civile) che aveva riposto sulla dipendente; 3) il mancato e successivo riscontro alla richiesta del 01/02/2023 che, si ribadisce essere stata fatta in assoluta seppur erronea buona fede, nulla avrebbe aggiunto alle informazioni già in possesso dell’istante” (v. nota cit., p. 4);

- con riferimento all’“art. 83, par. 2 lett. b)” “nella denegata ipotesi [l’]Autorità ritenesse ravvisare dai fatti illustrati una violazione della normativa posta a tutela dei dati personali, le ragioni addotte dalla Pianeta Srl possono chiarire ogni dubbio in merito alla mera condotta colposa operata in assoluta buona fede al fine di tutelare un proprio diritto a fronte di un comportamento lesivo posto in essere dalla dipendente” (v. nota cit., p. 4);

- con riferimento all’“art. 83, par. 2, lett. c)” “l’attività di trattamento oggetto della valutazione di questa Autorità è stata realizzata esclusivamente nell’ambito dell’esercizio dei diritti riconosciuti dalla normativa giuslavoristica al datore di lavoro” (v. nota cit., p. 4);

- con riferimento all’“art. 83, par. 2, lett. f)” “la Pianeta Srl sin dalla prima richiesta di informazioni formalizzata da questa Autorità ha offerto la massima collaborazione fornendo tutte le informazioni e i documenti che hanno permesso all’Autorità di svolgere la propria attività istruttoria e rendendosi subito disponibile ad un confronto e a chiarimenti che fossero stati ritenuti necessari” (v. nota cit., p. 4);

- con riferimento all’“art. 83, par. 2 lett. g)” “gli unici dati trattati nell’attività di verifica sull’utilizzo anomalo della carta fedeltà erano assolutamente anonimi in quanto detta carta non era intestata ad alcuna persona fisica. Solo dopo si è giunti ad accertare l’identità della persona utilizzatrice. Pertanto, gli unici dati personali trattati sono di natura comune e circoscritti al nominativo della dipendente” (v. nota cit., p. 5).

In data 19 luglio 2024, si è tenuta l’audizione della Società, come chiesto dalla stessa. In tale occasione la parte ha rappresentato che:

- “il procedimento disciplinare nei confronti della reclamante è nato nell’ambito di una normale gestione della carta fedeltà e in base al relativo regolamento da parte di Pianeta s.r.l.”;

- “il ritiro dei premi del programma fedeltà rientra nell’ambito di operazioni di contabilità per cui ad ogni premio ritirato corrisponde uno specifico giustificativo fiscale che riporta il numero identificativo della relativa carta fedeltà utilizzata per il ritiro stesso”;

- “sullo scontrino del cliente che si era lamentato del mancato sconto, infatti, vi era l’indicazione del numero della carta anonima che non corrispondeva alla carta fedeltà del cliente”;

- “per questo la Società ha chiesto chiarimenti alla reclamante e ha associato le operazioni di ritiro di premi alla carta anonima, alla carta di credito che la Società sapeva che la reclamante aveva utilizzato in altre circostanze e la cassa dove operava la reclamante”;

- “in merito alla contestazione mossa dal Garante relativamente all’assenza di informativa data alla dipendente, si osserva come la Società, con l’atto di contestazione disciplinare, abbia fornito, ai sensi dell’art. 14 del Regolamento, le informazioni relativamente al trattamento dei dati relativi alla carta fedeltà. Gli obblighi imposti dall’art. 14 del Regolamento sono stati adempiuti, quindi, attraverso la contestazione disciplinare che ha integrato l’informativa relativa al trattamento dei dati personali nell’ambito dello svolgimento del rapporto di lavoro che fu data all’atto dell’assunzione della dipendente. Si precisa che l’informativa relativa al trattamento dei dati della carta di fidelizzazione anonima oggetto di contestazione non è stata consegnata in quanto la carta era stata sottratta irregolarmente dal “Box Office” del punto vendita”;

- “i dati oggetto della contestazione disciplinare sono stati acquisiti da Pianeta s.r.l. come responsabile del trattamento del programma fedeltà che poi li ha utilizzati come titolare del trattamento nella contestazione disciplinare”;

- “in merito al mancato riscontro alla seconda richiesta di esercizio dei diritti presentata dalla reclamante la Società […] ha ritenuto erroneamente di non essere obbligata a fornire ulteriore riscontro. In proposito, infatti, la Società si rende conto di non avere rispettato nel dettaglio quanto richiesto dal Regolamento e di avere compiuto una erronea interpretazione in merito agli obblighi che gravano sul titolare del trattamento. Non c’è stata alcuna volontà di violare i diritti dell’interessata”;

- “anche qualora si ravvisassero dei profili di violazione della disciplina di protezione dei dati, la Società ha agito in buona fede, anche considerato che, al momento in cui ha riscontrato l’anomalia dell’uso della carta fedeltà anonima, quindi prima di effettuare le relative verifiche, non era a conoscenza del soggetto che aveva utilizzato la predetta carta né del fatto che fosse utilizzata da una propria dipendente”; 

- “in merito all’esercizio dei diritti la Società si rende conto che ci sono state da parte sua delle mancanze”;

- “la Società […] sottolinea la propria massima collaborazione con l’Autorità nel procedimento in oggetto”;

- “i fatti oggetto di procedimento sono stati lo spunto per apportare miglioramenti rispetto alla gestione degli obblighi in materia di protezione dei dati”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che la Società, in qualità di titolare, ha effettuato alcune operazioni di trattamento che risultano non conformi alla disciplina in materia di protezione dei dati personali per i motivi di seguito indicati.

In particolare, risulta accertato che la Società ha trattato i dati relativi al programma legato alla carta di fidelizzazione Conad utilizzata dalla reclamante per effettuare una contestazione disciplinare, nei confronti della stessa; risulta inoltre accertato che la Società non ha fornito alcun riscontro all’istanza di esercizio dei diritti presentata dalla reclamante in data 15 febbraio 2023.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

3.1. Il quadro normativo di riferimento.

I trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt. 6, par. 1, lett. b) e c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, ed in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento), nonché dei principi di correttezza e trasparenza (art, 5 par. 1 lett. a) del Regolamento). 

I trattamenti devono essere effettuati, inoltre, nel rispetto del principio di limitazione della finalità, in base al quale i dati devono essere “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità” (art. 5, par. 1, lett. b), del Regolamento).

L’art. 13 del Regolamento prevede che il titolare è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento prima che questo abbia inizio. 

L’art. 14 del Regolamento indica le informazioni in merito al trattamento che il titolare del trattamento deve fornire all’interessato qualora i suoi dati non siano raccolti presso lo stesso. Il paragrafo 4 dell’art. 14 citato dispone che “Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all'interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2”. 

Nell’ambito del rapporto di lavoro, l’obbligo di informare il dipendente è altresì espressione del principio generale di correttezza dei trattamenti (art. 5, par. 1, lett. a) del Regolamento). 

L’art. 12 par. 3 del Regolamento prevede che “Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l'interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l'interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell'interessato”. Il par. 4 del medesimo articolo dispone che “Se non ottempera alla richiesta dell'interessato, il titolare del trattamento informa l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale”. 

L’art. 15 del Regolamento prevede espressamente il diritto dell’interessato di “ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle […] informazioni [indicate nello stesso articolo]”. 

L’art. 17 del Regolamento riconosce all’interessato il diritto alla cancellazione dei dati che lo riguardano al ricorrere di determinate circostanze. 

In base all’art. 28 par. 10 del Regolamento “Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione”.

3.2    Il trattamento dei dati relativi al programma di fidelizzazione Conad.

Dall'istruttoria, è emerso che Pianeta s.r.l., per la contestazione disciplinare alla reclamante – contestazione che ha poi condotto al licenziamento–, ha effettuato un incrocio di dati trattati dalla medesima Società, in qualità di titolare del trattamento (dati relativi alla gestione del rapporto di lavoro della dipendente), e dati relativi all'uso della carta di fidelizzazione Conad, di cui risulta titolare del trattamento la Conad Adriatico Soc. Coop. e in cui la Pianeta s.r.l. riveste invece il ruolo di responsabile del trattamento (v. atto di designazione in all. 3 alla nota 9/02/2024 e verbale di audizione del 19/07/2024 “i dati oggetto della contestazione disciplinare sono stati acquistati da Pianeta s.r.l. come responsabile del trattamento del programma fedeltà che poi li ha utilizzati come titolare del trattamento nella contestazione disciplinare”).

In concreto, la Società ha collegato dati che trattava in qualità di datore di lavoro (es. turni di lavoro della reclamante) con dati che trattava per conto di Conad Adriatico Soc. Coop., in qualità di responsabile del trattamento (carte fidelity in possesso/intestate alla reclamante, carta di credito intestata alla reclamante e utilizzata per pagare, cfr. nota 9/02/2024, p. 2, “la Pianeta S.r.l., sulla base delle verifiche effettuate, ha potuto osservare come il passaggio della carta fidelity anonima coincideva con il turno di lavoro della Reclamante e che le somme di danaro, ad integrazione dei punti cumulati sulla medesima Carta Insieme Conad anonima per tutti i premi ritirati, erano state pagate mediante l’utilizzo di una carta di credito intestata alla Reclamante stessa. Tale ultima informazione è derivata dal fatto che la Ricorrente aveva utilizzato la stessa carta di credito per pagare la differenza economica per ritirare i premi richiesti con i punti accumulati sulla carta fedeltà ad essa intestata”; si veda, inoltre, la contestazione disciplinare mossa alla reclamante del 21/12/2022, all. 1 al reclamo e all. 7 alla nota del 9/92/2024).

Da quanto sopra, emerge quindi che la Società ha trattato i dati relativi alla all'utilizzo della carta fedeltà della reclamante, in assenza di una idonea condizione di liceità del trattamento e per una finalità propria, differente da quelle per le quali Conad Adriatico Soc. Coop., in qualità di titolare del trattamento, aveva raccolti i dati relativi al programma fedeltà (in particolare: finalità di fidelizzazione, marketing, profilazione, esecuzione di analisi statistiche ed aggregate di natura anonima, adempimento ed esecuzione di norme di legge o di ordini, decisioni e provvedimenti di autorità competenti, comunicazione dei dati ad autorità ed enti competenti, v. “Regolamento del servizio carta di fidelizzazione”, in particolare la parte relativa all’informativa sul trattamento dei dati personali, punto 3 “Per quali finalità trattiamo i tuoi dati”, all. 2 della nota del 9/02/2024, e il modulo di richiesta della carta Conad della reclamante relativo al programma di fidelizzazione del 24/07/2016, all. 6 del reclamo). 

Con riferimento a quanto sostenuto dalla Società in merito al fatto che la carta fedeltà, i cui movimenti sono stati oggetto di analisi, fosse “anonima”, si osserva come i dati oggetto dello specifico trattamento preso in considerazione siano da considerarsi dati personali, in base alla definizione di cui all’art. 4 (1) del Regolamento; ciò è tuttavia smentito dai fatti in quanto la Società ha utilizzato i predetti dati al fine di muovere una specifica contestazione disciplinare, nei confronti della reclamante. Si precisa, infatti, che un dato può considerarsi anonimo solo qualora lo stesso non sia, in nessun caso, riconducibile, neanche indirettamente riconducibile a uno specifico interessato. 

Considerato che, nel caso del trattamento dei dati effettuato per l'avvio dell'azione disciplinare nei confronti della reclamante, la Società ha utilizzato i dati relativi all'utilizzo della carta fedeltà di cui aveva la materiale disponibilità, in qualità di responsabile del trattamento, per finalità e mezzi propri, trova applicazione quanto previsto dall’art. 28 par. 10 del Regolamento che prevede che "se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione".

La Società, pur dovendo trattare i dati personali relativi al programma di fidelizzazione Conad in qualità di responsabile del trattamento, non si è invece attenuta alla disciplina del trattamento definita dal titolare nell’atto giuridico di preposizione (v. All. 3 alla nota del 9/02/2024, “Accordo di nomina a responsabile del trattamento”), ma ha invece trattato i predetti dati introducendo una finalità propria, relativa alla verifica della correttezza del comportamento di una propria dipendente. 

La Società infatti ha utilizzato i predetti dati per formulare una contestazione disciplinare (poi culminata nel licenziamento), collegandoli ad altri dati dalla stessa detenuti in qualità di titolare del trattamento (tra cui turni di lavoro della reclamante).
La descritta condotta della Società è stata altresì posta in essere in violazione degli artt. 5 par. 1 lett. a) (principio di liceità del trattamento) e 6 del Regolamento in quanto è stata effettuata in assenza di una idonea base giuridica. 

In proposito, si precisa che l’art. 7 della l. n. 300 del 1970 non può, contrariamente a quanto sostenuto dalla Società, assurgere a base giuridica legittimante il trattamento dei dati della reclamante effettuato dalla Società in sede di contestazione disciplinare. 

Si rileva, infatti, che i dati c.d. comuni, anche nell’ambito del rapporto di lavoro, devono essere trattati, in ossequio al principio di liceità del trattamento, in adempimento di quanto previsto dall’art. 6 del Regolamento. 

È stato inoltre accertato che la condotta della Società ha violato il principio di limitazione della finalità (art. 5 par. 1 lett. b) del Regolamento) considerato che i dati, originariamente raccolti per determinate finalità (fidelizzazione, marketing, profilazione, esecuzione di analisi statistiche ed aggregate di natura anonima, adempimento ed esecuzione di norme di legge o di ordini, decisioni e provvedimenti di autorità competenti, comunicazione dei dati ad autorità ed enti competenti, v. in proposito il “Regolamento del servizio carta fidelizzazione”), sono stati utilizzati per una diversa ed ulteriore finalità (contestazione disciplinare della reclamante) individuata dalla Società, incompatibile con le predette originarie finalità.

Considerato, infine, in merito a tale condotta, che la Società non ha fornito idonea informativa alla reclamante sul trattamento dei dati raccolti da Conad Adriatico Soc. Coop., nell’ambito del programma di fidelizzazione e utilizzati, nel caso di specie, dalla Società per la contestazione disciplinare, si ritiene che la condotta posta in essere dalla Società non sia conforme anche a quanto previsto dagli artt. 13 e 14 del Regolamento - che costituiscono corollario del principio di trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento - in base ai quali il titolare del trattamento è tenuto a fornire preventivamente all’interessato, secondo quanto previsto dall’art. 13 del Regolamento, e nei termini previsti dall’art. 14 par. 3 del Regolamento nel caso in cui i dati non siano ottenuti presso l’interessato, tutte le informazioni relative alle caratteristiche essenziali del trattamento (la violazione dell’obbligo di fornire una idonea informativa e del principio di finalità, in un caso analogo, tra l’altro sempre nell’ambito del programma di fidelizzazione Carta Insieme Conad, è stata accertata dall’Autorità già con il provvedimento 2 aprile 2008, doc. web n. 1519679).

L’informativa fornita alla reclamante, in merito al predetto programma di fidelizzazione dalla Conad Adriatico Soc. Coop., non contiene infatti alcuna indicazione relativa al trattamento effettuato nel caso di specie da parte della Pianeta s.r.l., ovvero quello volto a muovere una eventuale contestazione disciplinare. Né la Società ha dimostrato di aver comunque provveduto a informare la dipendente di questo trattamento, in altro modo. 

Non si può accogliere quanto sostenuto dalla Società in merito al fatto che la stessa “con l’atto di contestazione disciplinare, abbia fornito, ai sensi dell’art. 14 del Regolamento, le informazioni relativamente al trattamento dei dati relativi alla carta fedeltà. Gli obblighi imposti dall’art. 14 del Regolamento sono stati adempiuti, quindi, attraverso la contestazione disciplinare che ha integrato l’informativa relativa al trattamento dei dati personali nell’ambito dello svolgimento del rapporto di lavoro che fu data all’atto dell’assunzione della dipendente” (v. verbale di audizione del 19/07/2024). 

La contestazione disciplinare, infatti, non può considerarsi idonea informativa, né con riferimento a quanto previsto dall’art. 13 del Regolamento né con riferimento a quanto previsto dall’art. 14 del Regolamento in merito al trattamento di dati oggetto della medesima contestazione.

L’art. 14 comma 3 lett. c) del Regolamento richiamato dalla Società, infatti, prevede che “il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2: […] c) nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali” e pertanto non può ritenersi idoneo a rappresentare quanto avvenuto nella fattispecie oggetto di esame.

Nell’ambito del rapporto di lavoro l’obbligo di informare il dipendente è, altresì, espressione del principio generale di correttezza (v. art. 5, par. 1, lett. a) del Regolamento) che, dunque, risulta essere stato violato nel caso di specie.

In proposito si rammenta che i dati personali, trattati in violazione della disciplina di protezione dei dati personali, non possono essere utilizzati, salvo quanto previsto dall’art. 160-bis del Codice. 

3.2.L’istanza di esercizio dei diritti. 

È stato altresì accertato che la condotta posta in essere dalla Società, consistita nel non fornire alcun riscontro all’istanza di esercizio dei diritti presentata dalla reclamante in data 15 febbraio 2023, si pone in violazione degli art. 12, 15 e 17 del Regolamento.

Ciò in quanto l’art. 12 del Regolamento richiede che il titolare del trattamento - ruolo assunto dalla Società per quanto riguarda i dati oggetto di istanza - fornisca, senza giustificato ritardo, quanto richiesto, anche ai sensi degli artt. 15 e 17 del Regolamento, agli interessati.

In merito al rilievo della Società secondo cui l’assenza di riscontro sarebbe dipeso dal fatto che “la Pianeta S.r.l., ritenuto che: -le risposte erano già state ampiamente conferite con riscontro del 01/02/2023; -le richieste erano ripetitive rispetto a quelle formulate con istanza del 03/01/2023 e/o chiaramente desumibili dalla lettera di contestazione del 21/12/2022; -la richiesta di blocco del trattamento, di cancellazione e di conservazione dei dati non potevano essere accolte stante la fase di precontenzioso in essere” (v. nota 9/02/2024, p. 7), si richiama l’art. 12 del Regolamento che, in proposito, precisa che, qualora il titolare ritenga di non potere o non volere dare seguito all’istanza di esercizio dei diritti, debba informare dei motivi di ciò l’interessato, comunicando allo stesso la possibilità di presentare un ricorso all’autorità giudiziaria competente o un reclamo al Garante.

Inoltre, l’art. 12 par. 5 del Regolamento dispone che “se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può: a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure b) rifiutare di soddisfare la richiesta” in ogni caso, precisa sempre la norma citata, che “incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta”.

Nel caso di specie, la Società non ha posto in essere, né con riferimento all’art. 15 né con riferimento all’art. 17 del Regolamento, quanto previsto dall’art. 12 par. 3 del Regolamento e neppure quanto previsto dall’art. 12 par. 4 del Regolamento: a seguito dell’istanza del 15 febbraio 2023 la Società, come dalla stessa confermato, non ha infatti ritenuto di fornire alcun riscontro. 

Ciò, nonostante con l’istanza del 15 febbraio 2023, la reclamante abbia richiesto informazioni ulteriori rispetto a quelle già fornite e abbia richiesto la cancellazione e il blocco dei dati.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento. 

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Le condotte poste in essere dalla Società e segnatamente l’avere trattato i dati relativi al programma legato alla carta di fidelizzazione Conad utilizzata dalla reclamante per effettuare una contestazione disciplinare, nonché per non avere fornito alcun riscontro all’istanza di esercizio dei diritti presentata dalla reclamante in data 15 febbraio 2023, risultano illecite, nei termini su esposti, in relazione agli artt. 5, par. 1 lett. a), b), 6, 12, 13, 14, 15, 17, 28, par. 3, del Regolamento.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura delle plurime violazioni accertate che hanno riguardato i principi generali del trattamento, l’obbligo di fornire un’idonea informativa, l’esercizio dei diritti, la disciplina in merito al responsabile del trattamento. 

Pertanto, considerate le caratteristiche specifiche della condotta posta in essere, visti i poteri correttivi attribuiti dall’art. 58, par. 2, del Regolamento, si dispone il divieto di effettuare, nel contesto del rapporto di lavoro, ulteriori operazioni di trattamento di dati personali relativi alla reclamante connessi all’utilizzo della carta di fidelizzazione in violazione della disciplina di protezione dei dati personali, fatto salvo quanto previsto dall'articolo 160-bis  (art. 58, par. 2, lett. f), del Regolamento), nonché l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento risulta pertanto che la Società ha violato gli artt. 5, par. 1 lett. a), b), 6, 12, 13, 14, 15, 17, 28, par. 3, del Regolamento.   

Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a), b), e par. 4, lett. a), del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24/11/1981, n. 689).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i), del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, L. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali posto in essere dalla Società, di cui è stata accertata l’illiceità, nei termini sopra esposti.

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5. 

L’Autorità, alla luce delle Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR adottate in data 24 maggio 2023, alle quali sono state apportate lievi modifiche in data 29 giugno 2023, ritiene che il livello di gravità della violazione sia medio, tenuto conto di tutti i fattori rilevanti nel caso concreto.

In particolare sono state prese in considerazione la natura, la gravità e la durata della violazione, tenendo conto della natura, dell'oggetto o della finalità del trattamento in questione nonché del numero di interessati lesi dal danno e del livello del danno da essi subito (v. art. 83, par. 2, lett. a), del Regolamento). In particolare, è stato considerato che la condotta illecita ha violato, tra l’altro, i principi generali del trattamento e che l’istanza di esercizio dei diritti dei diritti del 15 febbraio 2023 è rimasta senza riscontro.

L’Autorità ha altresì preso in considerazione i criteri relativi al carattere doloso o colposo della violazione, ritenendo, come risulta dall’esame dei paragrafi precedenti, che l’elemento soggettivo sia quello della colpa, e le categorie di dati personali interessati dalla violazione, appartenenti, dunque, a dati c.d. comuni relativi alla reclamante, nonché la maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. art. 83, par. 2, lett. b) e g), e Considerando 148 del Regolamento). 

Con riferimento agli altri elementi elencati dall’art. 83, par. 2, del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, per quanto riguarda la Società, ritenuto che il livello di gravità della violazione sia medio, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) la Società, dopo essere venuta a conoscenza della violazione dei dati personali, non ha adottato misure idonee volte a mitigare i rischi per i diritti e le libertà degli interessati (art. 83, par. 2, lett. c), del Regolamento);

b) con riferimento al grado di responsabilità del titolare, è stata presa in considerazione la condotta negligente della Società e il grado di responsabilità della stessa che non si è conformata alla disciplina in materia di protezione dei dati relativamente a una pluralità di disposizioni (art. 83, par. 2, lett. d), del Regolamento);

c) non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);

d) si è tenuto conto della cooperazione con l’Autorità di controllo (art. 83, par. 2, lett. f), del Regolamento).

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base al conto economico della Società con riferimento al bilancio ordinario d’esercizio per l’anno 2024, ultimo disponibile.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti della Società la sanzione amministrativa del pagamento di una somma pari a euro 34.000 (trentaquattromila).

In tale quadro si ritiene che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione della tipologia delle violazioni accertate e della molteplicità delle stesse che hanno riguardato i principi generali del trattamento nonché l’obbligo di fornire l’informativa sul trattamento dei dati, l’esercizio dei diritti e la disciplina relativa al responsabile del trattamento.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, rileva l’illiceità del trattamento effettuato da Pianeta s.r.l., in persona del legale rappresentante, con sede legale in Via Cardone, 32, Vasto (CH), C.F. 02396610699, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1 lett. a), b), 6, 12, 13, 14, 15, 17, 28, par. 3, del Regolamento; 

ORDINA

a Pianeta s.r.l.:

- ai sensi dell’art. 58, par. 2, lett. f), del Regolamento il divieto di effettuare, nel contesto del rapporto di lavoro, ulteriori operazioni di trattamento di dati personali relativi alla reclamante, connessi all’utilizzo della carta di fidelizzazione, in violazione della disciplina di protezione dei dati personali, nei termini descritti in motivazione, fatto salvo quanto previsto dall'articolo 160-bis;  

- ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 34.000 (trentaquattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

a Pianeta s.r.l. di pagare la predetta somma di euro 34.000 (trentaquattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del garante n. 1/2019, la pubblicazione del presente provvedimento sul sito Internet del Garante;
- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 29 aprile 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori