Prescrizioni del Garante n. 736 del 04/12/2025

Ammonimento per mancato riscontro a richiesta di accesso ai dati personali

Il Garante per la protezione dei dati personali ha adottato un provvedimento nei confronti della dott.ssa XX, in relazione al mancato tempestivo riscontro a una richiesta di accesso ai dati personali presentata da una interessata ai sensi dell’art. 15 GDPR. Il procedimento è stato avviato a seguito di reclamo ed è stato definito come caso di violazione minore, con applicazione di un ammonimento.

Origine del procedimento e svolgimento istruttorio

La reclamante ha lamentato di aver esercitato i diritti di cui agli artt. 15-22 GDPR senza ottenere alcun riscontro. La richiesta riguardava, in particolare, l’accesso ai dati personali propri e delle figlie contenuti in un parere pro veritate redatto dalla professionista e depositato dall’ex marito della reclamante in un procedimento civile.

A seguito del reclamo, l’Autorità ha invitato la titolare del trattamento a fornire riscontro all’istanza di accesso. La professionista ha poi risposto, precisando che il parere era stato elaborato sulla base di documentazione già depositata nel giudizio e che il mancato riscontro iniziale era dipeso da una dimenticanza, collegata a un periodo di intenso carico lavorativo e accademico. La medesima ha anche rappresentato di aver risposto successivamente al reclamo e di non avere inteso opporsi alla richiesta dell’interessata.

L’Ufficio ha disposto un’archiviazione parziale del reclamo con riferimento al trattamento dei dati personali e dei dati relativi alla salute della reclamante e delle figlie effettuato nella redazione del parere, ritenendo tale trattamento non illecito sulla base della documentazione esaminata.

Violazione accertata: art. 12 in relazione all’art. 15 GDPR

Nel merito, il Garante ha richiamato l’art. 12, par. 3, GDPR, secondo cui il titolare del trattamento deve rispondere alla richiesta dell’interessato senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento, prorogabile di due mesi nei casi di particolare complessità, con obbligo di informare l’interessato della proroga e dei motivi del ritardo entro il primo mese.

Ha inoltre ricordato che, se il titolare non intende ottemperare alla richiesta, deve comunque informare l’interessato, entro un mese, dei motivi dell’inottemperanza e della possibilità di proporre reclamo e ricorso. Nel caso concreto, è stato accertato che la titolare non aveva fornito riscontro nei termini di legge alla richiesta di accesso avanzata ai sensi dell’art. 15 GDPR, avendo risposto solo dopo l’invito ad aderire dell’Autorità.

Valutazioni sul profilo soggettivo e sulla gravità

Le giustificazioni addotte dalla titolare, pur considerate, non sono state ritenute sufficienti a escludere la responsabilità per la condotta omissiva. Il Garante ha evidenziato che la mancata risposta, pur non essendo intenzionale, avrebbe potuto essere evitata con l’ordinaria diligenza richiesta dal Regolamento.

L’Autorità ha escluso il dolo e ha ritenuto la colpa di grado lieve. Ha inoltre valorizzato:

• il carattere isolato del reclamo;
• l’assenza di precedenti violazioni pertinenti;
• l’avvenuto successivo riscontro all’interessata;
• la circostanza che la condotta avesse già esaurito i propri effetti.

In base a tali elementi, il caso è stato qualificato come “violazione minore” ai sensi del considerando 148 GDPR e delle Linee guida WP 253 sulle sanzioni amministrative pecuniarie, come fatte proprie dal Comitato europeo per la protezione dei dati.

Esito del procedimento e misure disposte

Il Garante ha dichiarato l’illiceità del trattamento nella parte relativa alla violazione dell’art. 12 GDPR in relazione all’art. 15 GDPR e, ai sensi dell’art. 58, par. 2, lett. b), GDPR, ha ammonito la titolare del trattamento.

Non sono state adottate ulteriori misure correttive ex art. 58, par. 2, GDPR, in ragione del fatto che la titolare aveva già fornito riscontro e la violazione non presentava profili tali da giustificarle. È stato inoltre disposto che il provvedimento fosse pubblicato sul sito del Garante ai sensi dell’art. 154-bis, comma 3, del Codice privacy.

Tutela giurisdizionale

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.