Prescrizioni del Garante n. 630 del 23/10/2025

Experian Italia S.p.a. – mancato riscontro tempestivo a istanza di accesso

Il provvedimento riguarda Experian Italia S.p.a., titolare del trattamento nell’ambito di un sistema di informazioni creditizie, ed è stato adottato a seguito di reclamo presentato da un interessato per il ritardo nel riscontro a una richiesta di accesso ai dati personali. Il Garante ha esaminato la condotta della Società alla luce degli artt. 12 e 15 GDPR e ha concluso per l’illiceità del trattamento limitatamente al mancato rispetto dei termini di risposta.

Origine del reclamo e attività istruttoria

L’interessato aveva presentato istanza di accesso ai sensi dell’art. 15 GDPR il 31 marzo 2025, poi sollecitata il 5 maggio 2025, lamentando di non avere ricevuto alcun riscontro. Il reclamo è stato presentato al Garante il 13 maggio 2025. A seguito dell’invito dell’Ufficio, Experian ha riferito di avere predisposto un primo riscontro il 22 aprile 2025, mai effettivamente trasmesso per un errore tecnico non rilevato dal sistema gestionale, e di avere poi inviato un nuovo riscontro il 22 maggio 2025 dopo il sollecito dell’interessato. La Società ha inoltre chiarito che il problema era connesso a una temporanea indisponibilità di rete e che il proprio sistema interno aveva erroneamente considerato la pratica come evasa.

Difese della società e misure organizzative richiamate

Nelle memorie difensive Experian ha sostenuto che l’omesso recapito del primo riscontro derivasse da un evento tecnico imprevedibile ed eccezionale, non imputabile alla Società. Ha descritto l’organizzazione interna dedicata alla gestione delle istanze degli interessati: un Consumer Service, un sistema gestionale dedicato denominato STC System e una procedura interna per l’elaborazione delle richieste ai sensi del Capo III del GDPR. La Società ha anche evidenziato di avere introdotto, già nei primi giorni di agosto 2025, una modifica strutturale al sistema per evitare che pratiche non correttamente verificate risultassero come concluse. Ai fini dell’art. 83, par. 2, GDPR, ha richiamato inoltre il carattere circoscritto dell’episodio, la colpa lieve, la formazione del personale, l’assenza di precedenti e la cooperazione con l’Autorità.

Valutazioni del Garante sulle violazioni contestate

Il Garante ha rilevato che Experian, quale titolare del trattamento, non ha fornito riscontro all’istanza di accesso entro il termine di un mese previsto dall’art. 12, par. 3, GDPR, né ha informato l’interessato, entro lo stesso termine, dei motivi del ritardo e della possibilità di proporre reclamo a un’autorità di controllo o ricorso giurisdizionale, come richiesto dall’art. 12, par. 4, GDPR. È stato anche richiamato l’art. 15 GDPR, in quanto il diritto di accesso non è stato soddisfatto tempestivamente. Il Garante ha precisato che le linee guida EDPB 01/2022 ribadiscono la perentorietà del termine di 30 giorni per l’accesso, salva proroga motivata fino a due mesi e purché l’interessato sia informato del ritardo entro un mese.

Esito del procedimento e misura adottata

Pur prendendo atto che la Società aveva poi comunicato i dati richiesti e aveva adottato ulteriori misure tecniche e organizzative per prevenire il ripetersi del disguido, il Garante ha ritenuto non superati i rilievi e non ravvisabili i presupposti per l’archiviazione. La condotta è stata qualificata come violazione minore ai sensi dell’art. 83, par. 2, e del considerando 148 GDPR. In considerazione di ciò, l’Autorità ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare una sanzione pecuniaria.

Dispositivo

Il Garante ha dichiarato l’illiceità del trattamento per la violazione degli artt. 12, parr. 3 e 4, e 15 GDPR; ha ammonito Experian Italia S.p.a.; ha disposto la pubblicazione del provvedimento sul sito istituzionale e l’annotazione nel registro interno delle violazioni e delle misure adottate. Resta esperibile opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.