Prescrizioni del Garante n. 535 del 25/09/2025

Italy Car Rent S.r.l. – tardivo riscontro a istanze di accesso e carenze organizzative nella gestione dei diritti

Il provvedimento riguarda due reclami presentati nei confronti di Italy Car Rent S.r.l. per il mancato tempestivo riscontro a istanze di accesso ai dati personali formulate dagli interessati ai sensi dell’art. 15 GDPR. Il procedimento è stato avviato a seguito dei reclami del 28 giugno e del 15 ottobre 2024 e si è sviluppato attraverso richieste di informazioni, memorie difensive, audizione e successive integrazioni.

Origine del procedimento e contenuto dei reclami

I reclamanti avevano chiesto l’accesso ai propri dati personali il 12 aprile e il 18 agosto 2024. Le risposte della società, inviate il 23 aprile e il 18 agosto 2024, secondo i reclamanti non contenevano le informazioni richieste sulla base dell’art. 15 GDPR, ma solo riferimenti a profili contrattuali legati ai rapporti di noleggio. L’Autorità ha riunito i procedimenti, trattandosi dello stesso titolare del trattamento e di profili di violazione analoghi.

Esiti dell’istruttoria

Nel corso dell’istruttoria, Italy Car Rent S.r.l. ha dichiarato di aver riscontrato le istanze solo dopo l’intervento del Garante, in data 25 novembre 2024, fornendo tutte le informazioni richieste. La società ha attribuito il ritardo a una errata gestione interna delle richieste, che sarebbero state inserite in conversazioni e-mail inizialmente riferite a controversie contrattuali, con conseguente mancata percezione della loro autonoma rilevanza privacy.

La società ha inoltre rappresentato di aver:

• nominato un referente privacy per ciascuna stazione operativa;
• formato il personale;
• predisposto un canale email dedicato alle istanze di esercizio dei diritti;
• aggiornato la procedura interna per la gestione delle richieste;
• istituito un registro di tracciamento delle istanze;
• rivisto le informative e l’opuscolo interno “La Nuova Privacy”;
• svolto una sessione formativa specifica per i dipendenti.

Valutazioni del Garante

L’Autorità ha ritenuto non condivisibile la tesi difensiva secondo cui le istanze sarebbero state trattate come mere controversie contrattuali, evidenziando che in entrambi i casi i reclamanti avevano esplicitamente richiamato la normativa privacy e la volontà di accedere ai propri dati personali. In un caso, la richiesta era anche indirizzata al Responsabile della protezione dei dati e inviata al canale email dedicato alle istanze ex artt. 15-22 GDPR.

Il Garante ha quindi accertato la violazione dell’art. 12, par. 3, GDPR, per mancato riscontro “senza ingiustificato ritardo” e comunque entro un mese dalla ricezione dell’istanza, nonché dell’art. 15 GDPR, poiché il diritto di accesso non è stato soddisfatto nei tempi e con le modalità dovute.

Violazione del principio di accountability

Sul piano organizzativo, il Garante ha osservato che le misure predisposte dalla società erano inadeguate a garantire il rispetto del Regolamento, integrando anche una violazione degli artt. 5, par. 2, e 24 GDPR. Il provvedimento sottolinea che il titolare deve dotarsi di un sistema organizzato e verificabile per la gestione delle istanze degli interessati, con istruzioni operative, modelli di risposta, tempi di riscontro, individuazione dei referenti e procedure per gestire inviti ad aderire, solleciti e casistiche particolari.

L’Autorità ha inoltre rilevato che la documentazione prodotta dalla società non dimostrava l’esistenza di procedure consolidate; il materiale allegato risultava sintetico e privo di indicazioni sulle tempistiche e sulle modalità di risposta. La formazione del personale, pur rilevante, è stata ritenuta insufficiente da sola a integrare il requisito di accountability.

Considerazioni sul carattere sistemico delle criticità

Il Garante ha valorizzato il fatto che la stessa tipologia di violazione si era verificata in due episodi distinti, con clienti diversi e in momenti differenti, escludendo quindi un mero caso isolato. Ha inoltre evidenziato che il disallineamento organizzativo emergeva anche quando la richiesta era stata indirizzata al DPO o a un canale specificamente dedicato ai diritti degli interessati.

Esito del procedimento e misure adottate

Preso atto che, nel corso del procedimento, Italy Car Rent S.r.l. aveva comunque fornito un riscontro completo all’istanza e aveva avviato misure correttive organizzative, il Garante ha ritenuto di non dover imporre ulteriori misure correttive ex art. 58, par. 2, GDPR.

Il dispositivo finale:

• dichiara l’illiceità del trattamento effettuato da Italy Car Rent S.r.l. per violazione degli artt. 5, par. 2, 12, par. 3, 15 e 24 GDPR;
• dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità;
• dispone la pubblicazione del provvedimento sul sito internet del Garante.

Il provvedimento richiama infine il rimedio giurisdizionale dell’opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.