Ordinanza ingiunzione o revoca n. 752 del 07/10/2026

Sanzione all’Università per mancato riscontro a una richiesta di cancellazione

Il provvedimento del 7 ottobre 2026 riguarda il trattamento da parte dell’Università Mediterranea di Reggio Calabria dei dati personali di un interessato inclusi in un elenco online relativo alle elezioni delle rappresentanze studentesche nel Consiglio nazionale degli studenti universitari del 2016. Il procedimento è stato avviato a seguito del reclamo dell’interessato, che aveva chiesto la cancellazione dei dati senza ricevere risposta.

Reclamo e attività istruttoria

L’interessato ha presentato all’Università una richiesta di esercizio dei diritti ai sensi degli artt. 15-22 GDPR, chiedendo in particolare la cancellazione dei propri dati pubblicati in un elenco online. L’Ateneo non ha fornito riscontro.

Il Garante ha invitato l’Università a rispondere entro 20 giorni e, successivamente, ha inviato un ulteriore invito con un termine di 10 giorni. Non essendo pervenuta risposta né all’Autorità né all’interessato, è stato notificato l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice. L’Università non ha risposto neppure agli inviti ad aderire. Nelle memorie difensive ha infine dichiarato di aver rimosso i dati dal link indicato, ma non ha precisato quando fosse avvenuta la cancellazione.

Obblighi applicabili e violazioni accertate

Il Garante ha richiamato il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e gli obblighi di cui all’art. 12. Il titolare deve agevolare l’esercizio dei diritti e comunicare all’interessato l’azione intrapresa senza ingiustificato ritardo e, al più tardi, entro un mese dalla richiesta. Il termine può essere prorogato di due mesi, in considerazione della complessità e del numero delle richieste, ma l’interessato deve essere informato della proroga e dei relativi motivi entro il primo mese.

Se non dà seguito alla richiesta, il titolare deve comunicare entro un mese i motivi dell’inottemperanza e informare l’interessato della possibilità di proporre reclamo a un’autorità di controllo e ricorso giurisdizionale. L’obbligo di riscontro sussiste anche quando la richiesta non possa essere accolta nel merito.

L’art. 17 GDPR riconosce il diritto alla cancellazione nei casi ivi previsti, tra cui la non necessità dei dati rispetto alle finalità, il trattamento illecito o la sussistenza degli altri presupposti indicati dalla disposizione, fatte salve le eccezioni del par. 3. Nel caso concreto, l’Università non ha risposto entro il termine massimo, non ha comunicato le ragioni dell’inottemperanza e ha cancellato i dati solo tardivamente. Il Garante ha pertanto accertato la violazione degli artt. 5, par. 1, lett. a), 12, parr. 3 e 4, e 17 GDPR.

Valutazione della condotta e misure correttive

La rimozione del link ha esaurito gli effetti della condotta; per questa ragione il Garante non ha ritenuto necessario adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. La cancellazione, intervenuta dopo la notifica dell’avvio del procedimento, non ha tuttavia superato le violazioni già realizzate. Le memorie dell’Università sono state ritenute insufficienti per l’archiviazione.

Sanzione e criteri di quantificazione

Per la violazione degli artt. 5, 12 e 17 GDPR è applicabile la sanzione prevista dall’art. 83, par. 5, richiamato dagli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR e dall’art. 166, comma 2, del Codice. Trattandosi di un’unica condotta, l’art. 83, par. 3, limita l’importo complessivo al massimo previsto per la violazione più grave; il limite applicabile indicato nel provvedimento è di 20 milioni di euro.

Ai fini della quantificazione, il Garante ha considerato che la condotta ha riguardato un solo interessato ed è durata dal 31 gennaio 2024, presumibilmente, fino al 6 maggio 2025, data in cui l’Università ha dichiarato di aver rimosso i dati, senza indicare la data effettiva della cancellazione. Ha inoltre valutato la mancata collaborazione dell’Ateneo durante l’istruttoria e il fatto che la pubblicazione non riguardasse categorie particolari di dati. Richiamando il punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, adottate il 24 maggio 2023, la gravità è stata ritenuta bassa.

In senso favorevole alla determinazione dell’importo sono stati considerati la rimozione del link e l’assenza di precedenti violazioni pertinenti. Valutati complessivamente gli elementi dell’art. 83, par. 2, GDPR, il Garante ha fissato la sanzione in 4.000 euro, ritenendola effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1.

Dispositivo, termini e impugnazione

Il Garante ha ordinato all’Università il pagamento di 4.000 euro. Ai sensi dell’art. 166, comma 8, del Codice, è possibile definire la controversia pagando entro 30 giorni un importo pari alla metà della sanzione, cioè 2.000 euro. In caso contrario, il pagamento integrale di 4.000 euro deve essere effettuato entro 30 giorni dalla notifica, a pena dell’adozione degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981.

È stata disposta la pubblicazione dell’ordinanza sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, considerate le circostanze del caso: il mancato riscontro all’interessato e agli inviti dell’Autorità e la cancellazione tardiva. Il provvedimento è inoltre annotato nel registro interno ai sensi dell’art. 17 del Regolamento n. 1/2019. È ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero, ai sensi degli artt. 78 GDPR e 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.