Prescrizioni del Garante n. 40 del 29/01/2026

L'Alba società cooperativa sociale: ammonimento per ritardo nel riscontro a istanza di accesso ex art. 15 GDPR

Il provvedimento trae origine dal reclamo di un interessato che lamentava la mancata risposta a una richiesta di accesso ai dati personali presentata alla cooperativa sociale. Il Garante ha verificato il rispetto dei termini di riscontro e ha valutato le giustificazioni addotte dalla società, concludendo per una violazione degli artt. 12, par. 3, e 15 GDPR.

Fatti e origine del reclamo

Il reclamante aveva chiesto il 3 aprile 2024 di sapere se, in relazione a una raccomandata A/R inviata connessa alla propria posizione di socio, fossero in atto o fossero stati effettuati trattamenti di dati personali. Non avendo ricevuto riscontro, ha presentato reclamo al Garante il 10 ottobre 2024 ai sensi dell'art. 77 GDPR.

Attività istruttoria e riscontro fornito dal titolare

L'Autorità ha invitato la società ad aderire all'istanza con nota del 25 febbraio 2025. L'Alba società cooperativa sociale ha poi riscontrato l'interessato il 24 marzo 2025, dichiarando di non trattare né di aver trattato dati personali riferiti al reclamante, in quanto questi non risultava più socio dal 24 agosto 2023. Il riscontro non conteneva, però, spiegazioni sul ritardo rispetto ai termini previsti dall'art. 12, par. 3, GDPR.

Violazioni accertate e quadro normativo

Il Garante ha ritenuto che il titolare avesse violato:

• l'art. 15 GDPR, per il mancato esercizio tempestivo del diritto di accesso;
• l'art. 12, par. 3, GDPR, che impone di rispondere senza giustificato ritardo e comunque entro un mese dal ricevimento della richiesta.

L'Autorità ha rilevato che il riscontro è arrivato solo a seguito del reclamo e quindi oltre il termine normativo.

Argomentazioni difensive della società

La cooperativa ha rappresentato di trovarsi in una grave crisi economica e organizzativa, con disavanzo di bilancio, alienazione di immobili, trasloco della sede legale, spostamento dell'infrastruttura di rete e dei computer del personale. Ha inoltre evidenziato la drastica riduzione del numero dei soci e la crisi interna del consiglio di amministrazione. Ha infine sottolineato di aver prestato attenzione alla protezione dei dati personali anche tramite attività formative del personale.

Valutazione del Garante e criteri ex art. 83 GDPR

Pur non ritenendo idonee a escludere la violazione le difficoltà organizzative ed economiche addotte, il Garante le ha considerate attenuanti nella quantificazione della risposta sanzionatoria. In particolare ha valorizzato:

• la limitata estensione del fatto, riferito a un solo interessato e a un unico episodio;
• l'assenza di categorie particolari di dati personali;
• la natura colposa della condotta;
• la collaborazione prestata nel corso del procedimento;
• l'assenza di precedenti specifici;
• la natura sociale delle attività svolte dalla cooperativa.

Sulla base di tali elementi la violazione è stata qualificata come "violazione minore" ai sensi dell'art. 83, par. 2, e del considerando 148 GDPR.

Esito del procedimento e misure adottate

Il Garante ha:

• dichiarato l'illiceità del trattamento per la violazione degli artt. 12, par. 3, e 15 GDPR;
• ammonito L'Alba società cooperativa sociale ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• ritenuto non necessari ulteriori provvedimenti correttivi, poiché il riscontro era stato ormai fornito;
• disposto l'annotazione nel registro interno dell'Autorità e la pubblicazione del provvedimento sul sito istituzionale.

Rimedi impugnatori

Contro il provvedimento è proposta opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.