[doc. web n. 10268710]

Provvedimento del 18 giugno 2026

Registro dei provvedimenti
n. 463 del 18 giugno 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”); 

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

Con reclamo regolarizzato il 1° agosto 2025, la signora XX ha lamentato di aver inviato diverse richieste di cancellazione del proprio account dalla piattaforma di e-commerce www.fluyda.me senza ricevere mai alcuna risposta.

L’Ufficio ha inviato una richiesta di informazioni al titolare – individuato nella società Fluyda Srl Società Benefit in liquidazione (di seguito, Fluyda) con nota prot. 149822 del 12 novembre 2025, regolarmente notificata all’indirizzo pec indicato nel Registro delle imprese, alla quale la Società non ha fornito riscontro.

È stato pertanto disposto l'atto di avvio del procedimento n. 3153 del 12 gennaio 2026, regolarmente notificato al medesimo indirizzo pec, con il quale è stata contestata alla Società la violazione degli artt. 157 e 166, comma 2 del Codice per non aver fornito riscontro alla richiesta di informazioni del Garante. 

La Società non ha presentato memorie difensive e non ha fatto richiesta di audizione nei termini previsti.

Si ritiene pertanto che il mancato riscontro del titolare del trattamento alla richiesta di informazioni del Garante integri la contestata violazione degli artt. 157 e 166, comma 2 del Codice e si ravvisano, di conseguenza, i presupposti per l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e) del Regolamento rendendo necessario adottare un’ordinanza ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981.

Si ritiene altresì necessario, ai sensi dell’art. 58, par. 2, lett. c) del Regolamento, ingiungere al titolare del trattamento di soddisfare le richieste di esercizio dei diritti dell'interessata.

In ragione di quanto disposto dall’art. 154-bis, comma 3 del Codice, si procede alla pubblicazione del presente provvedimento sul sito internet dell’Autorità (cfr. anche art. 37 del regolamento interno del Garante n. 1/2019).

Si rileva, inoltre, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA 

In base a quanto sopra rappresentato, risulta violato l’art. 58, par. 1, lett. a) del Regolamento richiamato dall’art. 157 del Codice, per cui occorre applicare la sanzione prevista dall’art. 83, par. 5, del Regolamento.

Ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2, da valutare all’atto di quantificarne il relativo importo.

In adempimento di tale previsione, considerato l’ultimo bilancio rinvenibile nel Registro delle imprese (al 31 dicembre 2024), il ricorrere della prima ipotesi prevista dal citato art. 83, par. 5 e quantificato quindi in 20 milioni di euro il massimo edittale applicabile, devono essere considerate le seguenti circostanze aggravanti:

1. il mancato riscontro alla richiesta di informazioni del Garante non ha consentito di acquisire elementi utili a soddisfare la richiesta dell’interessata di poter ottenere la cancellazione dei dati (art. 83, par. 2, lett. a), del Regolamento);

Quali elementi attenuanti, si ritiene di poter tener conto:

1. dell’assenza di precedenti procedimenti avviati a carico della Società (art. 83, par. 2, lett. e) del Regolamento);

2. della natura dei dati trattati, consistenti in dati comuni anagrafici e di contatto (art. 83, par. 2, lett. g) del Regolamento);

3. della natura di microimpresa del titolare nonché della procedura di liquidazione in corso (art. 83, par. 2, lett. k) del Regolamento).

In una complessiva ottica di necessario bilanciamento fra diritti degli interessati e libertà di impresa, occorre valutare prudentemente i suindicati criteri, anche al fine di limitare l’impatto economico della sanzione.

Pertanto si ritiene che - in base al complesso degli elementi sopra indicati - debba applicarsi a Fluyda la sanzione amministrativa del pagamento di una somma di euro 1.000,00 (mille/00) pari allo 0,005% della sanzione edittale massima di 20 milioni di euro.

Nel caso in argomento si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare proporzionata in relazione alla gravità e al particolare disvalore delle condotte oggetto di censura, tenuto conto che il mancato riscontro del titolare ha ostacolato l’azione dell’Autorità.

TUTTO CIÒ PREMESSO IL GARANTE 

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta omissiva posta in essere da Fluyda Srl Società Benefit in liquidazione con sede a Milano, in viale Bianca Maria 41, codice fiscale n. 11909370964; di conseguenza:

a) ai sensi dell’art. 58, par. 2, lett. c) del Regolamento, ingiunge al titolare del trattamento di soddisfare le richieste di esercizio dei diritti dell'interessata;

b) ai sensi dell’art. 58, par. 1, lett. a) del Regolamento e dell’art. 157 del Codice, ingiunge al titolare del trattamento di informare il Garante dell’adempimento di quanto descritto al punto a) entro trenta giorni dalla notifica del presente provvedimento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, a Fluyda Srl Società Benefit in liquidazione in persona del suo legale rappresentante, di pagare la somma di euro 1.000,00 (mille/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia con l’adempimento alle prescrizioni impartite e il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 1.000,00,00 (mille/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019, la pubblicazione del presente provvedimento nonché, ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione della presente ordinanza ingiunzione sul sito web del Garante;

b) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 18 giugno 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori