Ordinanza ingiunzione o revoca n. 414 del 10/07/2025

Cooperativa Sociale Coopselios: mancato riscontro alle istanze di esercizio dei diritti e sanzione amministrativa

Il provvedimento riguarda la Cooperativa Sociale Coopselios, titolare del trattamento, ed è scaturito da un reclamo dell’interessato relativo al mancato riscontro tempestivo alle richieste di esercizio dei diritti previsti dal GDPR. L’oggetto del trattamento coinvolgeva dati personali relativi alla salute, nell’ambito di un percorso riabilitativo presso una struttura della cooperativa.

Origine del procedimento e reclamo

L’interessato ha rappresentato di avere inviato alla struttura sanitaria due raccomandate A/R, ricevute il 19 febbraio 2024 e il 21 febbraio 2024, con cui esercitava i diritti previsti dagli artt. 15, 18, 19 e 20 del GDPR. Secondo quanto dedotto nel reclamo, non avrebbe ricevuto alcun riscontro entro i termini.

Attività istruttoria dell’Autorità

A seguito del reclamo, il Garante ha invitato il titolare ad aderire alle richieste dell’interessato entro 20 giorni. Il titolare ha poi fornito un riscontro, sul quale l’Ufficio ha chiesto osservazioni al reclamante. Quest’ultimo ha contestato la carenza della risposta quanto a:

• destinatari o categorie di destinatari dei dati;
• periodo di conservazione o criteri di determinazione;
• richiesta di portabilità dei dati.

L’Ufficio ha però ritenuto che il riscontro del titolare avesse indicato i destinatari dei dati trattati, i tempi di conservazione e avesse trasmesso i dati mediante uno strumento di uso comune per la condivisione di file, sicché la contestazione è stata circoscritta al solo mancato riscontro nei termini dell’art. 12 GDPR.

Avvio del procedimento sanzionatorio

Con successivo atto di avvio ex art. 166, comma 5, Codice privacy, il Garante ha contestato al titolare di non aver riscontrato nei termini le istanze di esercizio dei diritti ricevute in data indicata negli atti, avendo risposto solo dopo l’invito ad aderire dell’Autorità. Al titolare è stato dato modo di depositare memorie difensive o chiedere di essere sentito.

Difese del titolare

Nella memoria difensiva, Coopselios ha sostenuto che il ritardo fosse dovuto a un episodio isolato, accidentale e causato da errore umano o disguido organizzativo. Ha dichiarato di aver predisposto procedure aziendali per la gestione delle richieste degli interessati, con coinvolgimento delle strutture operative, dell’ufficio privacy e del DPO, oltre a misure di formazione, auditing e policy interne, e ha chiesto l’applicazione del solo potere correttivo ex art. 58, par. 2, lett. b), GDPR.

Valutazioni del Garante sulla responsabilità

Il Garante ha ritenuto sussistente la responsabilità del titolare, osservando che l’errore umano è indice di negligenza e non esclude la violazione, soprattutto in assenza di misure adeguate ed efficaci a garantire il rispetto degli obblighi di diligenza. Ha preso atto delle iniziative dichiarate dal titolare, ma ha concluso che esse non superano i rilievi contestati. È stata quindi accertata la condotta omissiva per violazione dell’art. 12 GDPR in relazione agli artt. 15, 18, 19 e 20 GDPR.

Sanzione e criteri di quantificazione

La violazione dell’art. 12 GDPR, connessa all’esercizio dei diritti dell’interessato, è stata ricondotta all’art. 83, par. 5, GDPR. Nel quantificare la sanzione, il Garante ha considerato:

• il livello di gravità medio della violazione, dovuta al mancato riscontro nei termini e alla natura negligente della condotta;
• l’assenza di violazioni pertinenti pregresse;
• il fatto che l’Autorità abbia appreso la violazione tramite reclamo;
• le dichiarate iniziative formative e di richiamo interno adottate dal titolare.

Tenuto conto dei criteri dell’art. 83, par. 1 e 2, GDPR e delle linee guida EDPB/Article 29 richiamate, la sanzione è stata determinata in euro 10.000,00.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento per violazione dell’art. 12 GDPR in relazione agli artt. 15, 18, 19 e 20 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 10.000,00 entro 30 giorni dalla notificazione;
• previsto la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante e la pubblicazione del provvedimento, nonché l’annotazione nel registro interno delle violazioni.

Impugnazioni

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 Codice privacy e dell’art. 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.