[doc. web n. 10262480]

Provvedimento del 28 maggio 2026

Registro dei provvedimenti
n. 388 del 28 maggio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dalla Sig.ra XX nei confronti di Consorzio Italia;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo nei confronti della Società e l’attività istruttoria.

In data 20 ottobre 2022, la Sig.ra XX ha presentato un reclamo a questa Autorità nel quale ha rappresentato di aver esercitato il diritto di cui all’art. 15 del Regolamento, in data 13 luglio 2022, e di non avere ricevuto riscontro da parte, tra l’altro, di Consorzio Italia (di seguito, Consorzio) oltre che di XX. 

In particolare la reclamante ha rappresentato che con l’istanza di accesso sono stati “altresì richiesti i seguenti dati: a) L’identità e i dati di contatto del titolare del trattamento e del responsabile del trattamento e della protezione dei dati. b) l’acquisizione del suo fascicolo personale, dei fogli presenze, dei fogli turni, della programmazione dei viaggi e dei giri di lavoro compresi i rapportini di avvio afferenti alla sua prestazione in aggiunta alle buste paga”.

Ciò considerato, l’Ufficio, posto che la reclamante, in base a quanto dalla stessa rappresentato, aveva intrattenuto un rapporto di lavoro con il Consorzio che aveva disposto il distacco della stessa presso XX, ha avviato un'istruttoria preliminare, nei confronti del Consorzio, inviando, in data 6 luglio 2023, tramite pec, una nota con cui il titolare del trattamento è stato invitato a comunicare la propria adesione spontanea o comunque a fornire un riscontro sui fatti oggetto di reclamo a questa Autorità. 

Stante l’assenza di riscontro, l’Ufficio ha inviato, in data 6 settembre 2023, una richiesta di informazioni ai sensi dell’art. 157 del Codice al Consorzio in merito ai fatti oggetto di reclamo.

Nessun riscontro è stato inviato alla richiesta di informazioni, ex art. 157 del Codice. Per tale ragione il Nucleo speciale tutela privacy e frodi tecnologiche è stato delegato dall’Autorità ad acquisire le informazioni richieste e a notificare la comunicazione di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori relativamente alla violazione dell’art. 157 del Codice. 

In particolare, in data 19 febbraio 2024, in sede di accertamento ispettivo, il Consorzio, per il tramite del rappresentante legale, ha rappresentato che: 

- la pec “concorzioitalia@legalmail.it” è la pec ufficiale del Consorzio (v. verbale operazioni compiute 29/02/2024, p. 2); 

- riguardo al mancato riscontro alla richiesta di informazioni del Garante, inviata a mezzo pec all’indirizzo “consorzioitalia@legalmail.it” “subito dopo la notifica dell’avvio del procedimento sanzionatorio, avvenuta la scorsa settimana a cura dei militari della Guardia di Finanza di Cagliari, ho contattato la mia ex segretaria che mi ha confermato che avevamo ricevuto la pec dell’Autorità Garante e che me ne stavo occupando con il mio legale. Successivamente, però, tra un impegno e l’altro mi sarà sfuggito di dare riscontro e seguito alla richiesta dell’Autorità Garante. Sarà mia cura essere più dettagliato possibile nelle spiegazioni che fornirò alla stessa Autorità in relazione all’avvio del procedimento sanzionatorio” (v. verbale operazioni compiute cit., p. 2); 

- “atteso che non è stata nostra volontà non dare riscontro alla reclamante, ma che la sua richiesta è pervenuta nel periodo in cui stavamo curando la pratica di “concordato preventivo” del “Consorzio Italia” presentata presso il Tribunale di Roma in data 14 luglio 2022, prenderò immediatamente contatti con la reclamante e le metterò a disposizione tutta la documentazione a lei riferita ed in nostro possesso; al riguardo posso già confermare che, subito dopo la notifica dell’avvio del procedimento sanzionatorio, ho visionato la documentazione della reclamante in nostro possesso e posso affermare di essere in grado di fornire la seguente documentazione: il contratto di lavoro, le buste paga e le distinte di pagamento effettuate. Devo verificare se siamo in possesso delle e-mail che “XX” ci inviava per rendicontare le presenze di lavoro della stessa reclamante presso la medesima società. Specifico che non ho preso subito contatti con la reclamante in quanto attendevo l’incontro di oggi per poter avere maggiori delucidazioni” (v. verbale operazioni compiute cit., p. 3); 

- “relativamente alla […] società XX faccio presente che non siamo più in buoni rapporti con la stessa; tuttavia sarà nostra cura contattarla qualora non riuscissimo a recuperare tutta la documentazione del caso. In merito preciso infatti che, sebbene “Consorzio Italia” sia tuttora attivo in quanto è in regime di “concordato in continuità” e opera con circa cinque dipendenti, nessuno di questi attualmente è impegnato con la “XX”, società con la quale non abbiamo più rapporti dai primi mesi del 2023” (v. verbale operazioni compiute cit., p. 3); 

- “nel periodo in cui è pervenuta la richiesta della reclamante eravamo concentrati sulla citata procedura di concordato preventivo del “Consorzio Italia” e, quindi, non siamo stati in grado di dare le giuste attenzioni alle altre trattazioni che ci pervenivano in quel periodo” (v. verbale operazioni compiute cit., p. 3); 

- “non avevamo motivo alcuno di negare alla reclamante qualunque forma di accesso ai documenti da lei richiesti, come dimostreremo nei prossimi giorni. Inoltre sarà nostra cura, una volta fornite tutte le delucidazioni e la documentazione alla reclamante, informare l’Autorità Garante delle attività svolte” (v. verbale operazioni compiute cit., p. 3). 

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi.

In data 8 luglio 2024, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione al Consorzio delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 12 e 15 del Regolamento.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

3.1 Il quadro normativo applicabile.

L’art. 12 del Regolamento, da leggere anche in combinato disposto con le norme relative agli specifici diritti riconosciuti dall’ordinamento all’interessato, dispone che “il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro […]. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovato con altri mezzi l’identità dell’interessato” (par. 1). Viene, inoltre, disposto che “il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22” (par. 2). 

Il paragrafo 3 del medesimo articolo precisa che “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’interessato”. 

In base al paragrafo 4 del medesimo articolo, il titolare del trattamento, qualora non ottemperi all’istanza dell’interessato, “informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”. 

L’art. 15 del Regolamento dispone che “l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle […] informazioni” indicate nello stesso articolo (par. 1) e che “il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune” (par. 3).

L’art. 157 del Codice dispone che “nell’ambito dei poteri di cui all’articolo 58 del Regolamento, e per l’espletamento dei propri compiti, il Garante può richiedere al titolare, al responsabile, al rappresentante del titolare o del responsabile, all’interessato o anche a terzi di fornire informazioni e di esibire documenti anche con riferimento al contenuto di banche dati”. 

3.2 Esito dell’istruttoria. Violazione degli artt. 12 e 15 del Regolamento e dell’art. 157 del Codice.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che il Consorzio, in qualità di titolare, ha effettuato alcune operazioni di trattamento, riferite alla reclamante, che risultano non conformi alla disciplina in materia di protezione dei dati personali.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Nel merito, è emerso che il Consorzio, in qualità di titolare del trattamento, anche in base a quanto dallo stesso dichiarato, non ha dato riscontro all’istanza di accesso ex art. 15 del Regolamento, presentata dalla reclamante in data 13 luglio 2022, tanto che l’interessata ha ritenuto di presentare un reclamo dinanzi all’Autorità per lamentare la predetta condotta. 

Solo a seguito della presentazione della richiesta, inviata tramite il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, il Consorzio ha comunicato che “non avevamo motivo alcuno di negare alla reclamante qualunque forma di accesso ai documenti da lei richiesti” e che “prenderò immediatamente contatti con la reclamante e le metterò a disposizione tutta la documentazione a lei riferita ed in nostro possesso” (v. verbale operazioni compiute cit., p. 3).

Inoltre, in merito al motivo del mancato riscontro all’istanza di esercizio dei diritti presentata dalla reclamante, il Consorzio si è limitato a dichiarare che, nel periodo in cui è pervenuta la richiesta della reclamante, lo stesso era “concentrat[o] sulla […] procedura di concordato preventivo del “Consorzio Italia” e, quindi, non siamo stati in grado di dare le giuste attenzioni alle altre trattazioni che ci pervenivano in quel periodo” (v. verbale operazioni compiute cit., p. 3). 

Ciò considerato, la condotta tenuta dal Consorzio si pone in contrasto con gli artt. 12 e 15 del Regolamento in quanto lo stesso non ha fornito riscontro all’istanza di esercizio del diritto di accesso presentata dalla reclamante. 

Inoltre, il titolare del trattamento non ha fornito riscontro alcuno alla richiesta di informazioni ex art. 157 del Codice inviata dall’Autorità. 

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dal Consorzio e segnatamente l’omesso riscontro alla richiesta di accesso della reclamante inviata in data 13 luglio 2022, risulta infatti illecito, nei termini su esposti, in relazione agli artt. 12 e 15 del Regolamento. Il Consorzio inoltre non ha fornito riscontro alcuno alla richiesta di informazioni ex art. 157 del Codice.

In relazione alla fattispecie in esame deve osservarsi che l’assenza, allo stato, di precedenti specifici a carico del Consorzio, il fatto che lo stesso sia interessato da una procedura di concordato preventivo in fase di esecuzione (omologato in data 25/11/2024), il numero di interessati coinvolti pari a 1, costituiscono tutti elementi che inducono a qualificare l’infrazione come “violazione minore” (art. 83, par. 2, e Considerando 148 del Regolamento).

Si ritiene, quindi, che, relativamente al caso in esame, occorra ammonire il titolare del trattamento, ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento, per aver effettuato il trattamento in violazione degli artt. 12 e 15 del Regolamento e art. 157 del Codice, nei termini indicati in motivazione.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), del Regolamento rileva l’illiceità del trattamento effettuato da Consorzio Italia, con sede legale in Viale Antonio Ciamarra 259, Roma, C.F. 11939541006, descritto nei termini di cui in motivazione, per la violazione degli artt. 12 e 15 del Regolamento e art. 157 del Codice;

b) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce Consorzio Italia, quale titolare del trattamento, per avere effettuato trattamenti in violazione di quanto prescritto dagli artt. 12 e 15 del Regolamento e per avere violato l’art.157 del Codice;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante. 

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 28 maggio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori