Ordinanza ingiunzione o revoca n. 587 del 06/08/2026

Sanzione per mancato riscontro a una richiesta di accesso

Il provvedimento n. 587 del 6 agosto 2026 riguarda la Cooperativa sociale Leontinoi e il mancato riscontro a una richiesta di accesso ai dati personali. Il procedimento è stato avviato in seguito al reclamo dell’interessato e ha riguardato anche l’omessa collaborazione della Cooperativa con il Garante.

Reclamo e svolgimento del procedimento

L’8 gennaio 2025 l’interessato ha presentato reclamo, riferendo di non aver ricevuto risposta alla richiesta di accesso inviata il 29 novembre 2024. La richiesta riguardava i suoi dati personali detenuti dalla Cooperativa, compresi quelli contenuti in un documento sottoscritto il 26 novembre 2024.

Con nota dell’8 gennaio 2026 l’Ufficio ha invitato la Cooperativa ad aderire all’istanza, senza ricevere risposta. Anche la comunicazione del 30 aprile 2026, con cui è stata notificata l’illiceità del trattamento e avviato il procedimento per l’adozione di misure correttive e l’eventuale applicazione di sanzioni, è rimasta senza riscontro.

Obblighi relativi ai diritti dell’interessato

Il Garante ha richiamato il diritto di accesso previsto dall’art. 15, par. 1, GDPR e gli obblighi di risposta stabiliti dall’art. 12. Ai sensi dell’art. 12, par. 3, il titolare deve informare l’interessato dell’azione intrapresa senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta. Se non intende darvi seguito, deve comunicare entro lo stesso termine i motivi dell’inottemperanza e la possibilità di presentare reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale, come previsto dall’art. 12, par. 4.

Il Garante ha accertato che la Cooperativa non ha risposto alla richiesta né ha fornito le informazioni dovute sull’eventuale mancato accoglimento. È stato inoltre inefficace l’invito dell’Ufficio dell’8 gennaio 2026 a riscontrare l’istanza.

Omessa cooperazione con l’Autorità

La Cooperativa non ha risposto alle richieste dell’Autorità, in violazione dell’obbligo di cooperazione previsto dall’art. 31 GDPR. Il provvedimento richiama inoltre l’art. 157 del Codice, in base al quale il Garante può richiedere al titolare informazioni ed esibizione di documenti per l’espletamento dei propri compiti. È richiamata, sul punto, Cassazione, 12 giugno 2018, n. 15332.

Violazioni accertate e valutazione del Garante

Il Garante ha dichiarato illecito il trattamento e accertato la violazione degli artt. 12, parr. 3 e 4, 15 e 31 GDPR, nonché dell’art. 157 del Codice, in relazione al mancato riscontro all’interessato e alla mancata cooperazione con l’Autorità. Nel dispositivo ha dichiarato l’illiceità per violazione del principio di liceità e correttezza di cui all’art. 5, par. 1, lett. a), e dell’art. 6 GDPR.

Le violazioni non sono state ritenute di rilevanza minore, tenuto conto della loro natura e gravità e del grado di responsabilità del titolare. La sanzione è stata applicata ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, GDPR, nonché dell’art. 166 del Codice e dell’art. 18 della legge n. 689/1981.

Sanzione e criteri di quantificazione

Il Garante ha determinato la sanzione in 1.000 euro, richiamando i criteri dell’art. 83, par. 2, e i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR. Nella valutazione ha considerato la condotta e la responsabilità connesse al mancato riscontro; come aggravante, l’omessa cooperazione con l’Autorità; come attenuanti, l’assenza di precedenti specifici e la natura sociale dell’attività svolta dalla Cooperativa.

Ordini, adempimenti e impugnazione

La Cooperativa deve:

• pagare 1.000 euro entro 30 giorni dalla notifica, secondo le modalità indicate nell’allegato, pena l’avvio degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981;
• conformare il trattamento al GDPR entro 30 giorni dalla notifica, dando accesso ai dati richiesti e comunicando al Garante, entro lo stesso termine, di aver adempiuto.

Resta salva la facoltà di definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. n. 150/2011 per la proposizione del ricorso. Il provvedimento può essere impugnato dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, oppure entro 60 giorni per chi risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.