Ordinanza ingiunzione o revoca n. 121 del 26/02/2026

Groupharma s.r.l.s. - omesso riscontro a istanza di accesso e cancellazione

Il provvedimento riguarda Groupharma s.r.l.s. e trae origine dal reclamo di un'ex lavoratrice/collaboratrice che lamentava il mancato riscontro a una richiesta di accesso e di cancellazione di dati personali trattati nell'ambito del rapporto di lavoro e pubblicati sul sito aziendale.

Fatti e attività istruttoria

La reclamante, cessato il rapporto in data 1 agosto 2024, aveva inviato il 12 settembre 2024 una PEC con cui chiedeva:

• la cancellazione di foto, numero di cellulare e indirizzo e-mail aziendale dal sito internet della società, nella sezione "Chi siamo";
• copia dell'ultimo contratto di collaborazione stipulato con la società.

Nel reclamo del 16 ottobre 2024, poi regolarizzato il 18 dicembre 2024, è stato rappresentato che non vi era stato alcun riscontro. L'Autorità ha avviato l'istruttoria preliminare con nota dell'8 febbraio 2025, invitando la società ad aderire alle richieste dell'interessata e a fornire chiarimenti.

La società, con nota del 14 marzo 2025, ha affermato che il contratto era stato già consegnato alla reclamante in occasione della sottoscrizione o comunque già disponibile, e che i dati sul sito erano stati rimossi in concomitanza con la richiesta, indipendentemente e non appena possibile. Ha inoltre dichiarato di aderire all'istanza di accesso ed eventuale cancellazione di ulteriori dati.

Contestazioni e quadro normativo

Con atto del 17 giugno 2025, l'Ufficio ha contestato le violazioni degli artt. 5, par. 1, lett. a) e d), 12, 15 e 17 GDPR.

Il provvedimento richiama in particolare:

• l'art. 5, par. 1, lett. a) GDPR, sul principio di liceità, correttezza e trasparenza;
• l'art. 5, par. 1, lett. d) GDPR, sul principio di esattezza;
• l'art. 12 GDPR, che impone al titolare di riscontrare le richieste degli interessati senza ingiustificato ritardo e comunque entro un mese, e di informare l'interessato dei motivi dell'eventuale diniego e dei rimedi esperibili;
• l'art. 15 GDPR, relativo al diritto di accesso e alla copia dei dati personali;
• l'art. 17 GDPR, relativo al diritto alla cancellazione senza ingiustificato ritardo.

Il Garante richiama anche l'art. 12, par. 5 GDPR sulle richieste eccessive e le Guidelines 01/2022 dell'EDPB sul diritto di accesso.

Valutazioni del Garante sul diritto di accesso

L'Autorità ha ritenuto infondata la tesi della società secondo cui non vi sarebbe stata violazione perché il contratto era già nella disponibilità della reclamante o accessibile tramite sistemi interni. Il GDPR, infatti, non esclude l'esercizio del diritto di accesso per documenti già noti o posseduti dall'interessato.

Il Garante ha evidenziato che:

• l'art. 15 GDPR non contiene limitazioni basate sulla previa disponibilità del dato;
• il titolare deve comunque fornire una copia dei dati personali oggetto di trattamento;
• l'eventuale ripetizione della richiesta può essere affrontata solo nei casi di richieste eccessive e ripetitive, secondo l'art. 12, par. 5 GDPR.

È stato quindi accertato che il mancato riscontro iniziale integra violazione dell'art. 15 GDPR e, per le modalità e i tempi di gestione della richiesta, anche dell'art. 12 GDPR e del principio di correttezza ex art. 5, par. 1, lett. a).

Valutazioni del Garante sulla richiesta di cancellazione

Quanto alla richiesta di cancellazione dei dati presenti sul sito, il Garante ha rilevato che la società non ha fornito riscontro tempestivo all'interessata. Pur affermando di avere avviato la rimozione già il 28 agosto 2024, la società non ha documentato in modo certo la data effettiva di eliminazione dei dati; la reclamante ha anzi sostenuto che le informazioni fossero ancora online a dicembre 2024 e gennaio 2025.

L'Autorità ha osservato che, cessato il rapporto di lavoro, il mantenimento sul sito di dati riferiti all'interessata risultava comunque non coerente con il principio di esattezza, poiché i dati dovevano essere cancellati o aggiornati tempestivamente rispetto alle finalità del trattamento. È stata inoltre ravvisata la violazione dell'art. 17 GDPR, perché il titolare avrebbe dovuto rispondere anche nel caso di mancato accoglimento, indicando senza ritardo i motivi dell'inottemperanza e i rimedi disponibili.

Esito del procedimento e illecito accertato

Il Garante ha ritenuto che le difese della società non fossero idonee a superare i rilievi contestati e ha dichiarato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e d), 12, 15 e 17 GDPR.

Il provvedimento sottolinea che la violazione non può essere considerata minore, in ragione:

• della pluralità delle disposizioni violate;
• della rilevanza dei principi generali coinvolti;
• della durata del ritardo nel riscontro;
• del contesto del rapporto di lavoro, caratterizzato da squilibrio tra titolare e interessato.

Sanzione pecuniaria e criteri di quantificazione

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell'art. 166 del Codice privacy, il Garante ha irrogato una sanzione amministrativa pecuniaria di 3.000 euro.

Nella determinazione dell'importo sono stati considerati i criteri di cui all'art. 83, par. 2 GDPR, in particolare:

• natura della violazione, relativa a disposizioni sanzionate ai sensi dell'art. 83, par. 5 GDPR;
• durata: circa sei mesi per il riscontro all'accesso, almeno un mese per la cancellazione;
• gravità, in considerazione del trattamento nell'ambito del rapporto di lavoro;
• numero degli interessati coinvolti, pari a uno;
• elemento soggettivo e grado di responsabilità, con violazione dell'obbligo di diligenza;
• cooperazione con l'Autorità, valorizzata come circostanza attenuante, anche per l'invio del contratto durante il procedimento;
• condizioni economiche della società, desunte dal bilancio abbreviato 2024.

Il Garante richiama anche l'art. 83, par. 1 GDPR sul carattere effettivo, proporzionato e dissuasivo della sanzione, e l'art. 83, par. 3 GDPR per il cumulo delle violazioni nello stesso trattamento.

Dispositivo, pagamento e pubblicazione

Nel dispositivo il Garante:

• rileva l'illiceità del trattamento effettuato da Groupharma s.r.l.s.;
• ordina il pagamento della sanzione di 3.000 euro entro 30 giorni dalla notifica, con possibilità di definizione agevolata pagando la metà nei termini di legge;
• dispone la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità;
• dispone la pubblicazione del provvedimento sul sito del Garante;
• dispone l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

È inoltre previsto il rimedio dell'opposizione avanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.