Prescrizioni del Garante n. 207 del 10/04/2025

YOOX Net-a-Porter Group S.p.A. - chiusura del reclamo sull'accesso ai dati senza sanzioni

Il provvedimento conclude un reclamo transfrontaliero relativo al mancato riscontro a una richiesta di accesso ai dati personali presentata da un interessato nei confronti di YOOX Net-a-Porter Group S.p.A. Il Garante italiano, quale autorità capofila, ha operato nell'ambito della cooperazione ex artt. 56 e 60 GDPR.

Origine del procedimento e ruolo delle autorità coinvolte

Il reclamo era stato presentato all'autorità di protezione dati della Renania Settentrionale-Vestfalia, che lo ha trasmesso al Garante italiano. La competenza dell'Autorità italiana deriva dal fatto che il titolare del trattamento ha sede legale in Italia. Il procedimento è stato quindi gestito tramite la piattaforma IMI e la procedura di cooperazione prevista per i trattamenti transfrontalieri.

Fatti oggetto di contestazione

L'interessato aveva inviato il 6 aprile 2021 una richiesta di accesso ai sensi dell'art. 15 GDPR, chiedendo informazioni sui dati personali eventualmente trattati dalla società. La richiesta si inseriva in una controversia di natura commerciale, collegata alla restituzione di una giacca e ad altri profili estranei alla protezione dei dati personali. Il reclamante lamentava di non aver ricevuto alcun riscontro.

Valutazioni sulla gestione della richiesta di accesso

La società ha spiegato di aver agito con cautela, ritenendo necessario verificare la legittima provenienza della richiesta in presenza di elementi non univoci. In particolare, ha rappresentato che la successiva istanza del 28 maggio 2021, inviata tramite studio legale, non conteneva una procura leggibile e presentava un indirizzo e-mail diverso da quello associato al profilo dell'interessato. Per questo motivo la società aveva richiesto ulteriori elementi identificativi, richiamando la facoltà prevista dall'art. 12, par. 6, GDPR di chiedere informazioni aggiuntive quando vi siano ragionevoli dubbi sull'identità del richiedente.

Intervento dell'Autorità e adempimento finale

L'Autorità ha invitato la società a chiarire se avesse fornito o meno l'accesso richiesto, oppure i motivi ostativi. Ricevuti i chiarimenti, il Garante ha preso atto che YOOX aveva poi fornito all'interessato, il 24 ottobre 2023, un riscontro contenente le informazioni richieste tramite file sicuro accessibile con link. Poiché il contenuto del file non era direttamente verificabile dall'Autorità, è stato richiesto alla società di trasmettere il documento direttamente; la trasmissione è avvenuta il 7 marzo 2024.

Decisione finale e effetti

All'esito dell'istruttoria, il Garante ha ritenuto di non dover procedere con misure correttive o sanzionatorie, chiudendo il procedimento ai sensi dell'art. 60, par. 7, GDPR e dell'art. 143, comma 3, del Codice. La decisione richiama anche le Linee guida EDPB 2/2022 sull'applicazione dell'art. 60 GDPR e, pur senza adottare provvedimenti afflittivi, rammenta al titolare il costante rispetto degli obblighi derivanti dal regolamento.

Profili normativi richiamati

Nel provvedimento sono richiamati, tra gli altri, gli artt. 4, n. 23, 4, n. 7, 12, 15, 56, 57, 60 e 78 GDPR, nonché l'art. 157 del Codice e l'art. 143, comma 3, del Codice. È inoltre citato l'art. 168 del Codice in relazione alle false dichiarazioni o documentazioni al Garante, richiamato nella fase istruttoria. Non è stata irrogata alcuna sanzione pecuniaria.