Prescrizioni del Garante n. 632 del 23/10/2025

Ammonimento a Coes Company s.r.l. in liquidazione per mancato riscontro a istanza di accesso e a richieste del Garante

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un ex lavoratore nei confronti di Coes Company s.r.l. in liquidazione, relativo al mancato riscontro a un’istanza di accesso ai dati e alla documentazione lavorativa. Nel corso dell’istruttoria è emerso anche il mancato riscontro della società alle richieste di informazioni dell’Autorità.

Origine del procedimento

Il reclamo è stato presentato il 22 novembre 2023 e riguardava un’istanza formulata il 31 agosto 2023, regolarmente notificata alla società, con cui l’interessato chiedeva documentazione relativa al periodo di lavoro presso il datore di lavoro. L’Ufficio ha quindi avviato l’istruttoria e sollecitato la società a fornire riscontro.

Istruttoria e mancata risposta

Il Garante ha inviato una prima richiesta alla società il 2 gennaio 2024 e, non avendo ricevuto risposta, una seconda richiesta ai sensi dell’art. 157 del Codice privacy il 20 marzo 2024. Nessuna delle due richieste è stata riscontrata nei termini. Successivamente, su richiesta dell’Ufficio, la Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche ha acquisito informazioni in data 8 aprile 2024.

Dalle dichiarazioni rese dal liquidatore è emerso che la richiesta originaria era stata ricevuta prima dell’apertura della liquidazione giudiziale, mentre il reclamo e le richieste del Garante erano intervenuti nella fase di passaggio tra liquidatore volontario e liquidatore giudiziale, circostanza che aveva contribuito all’incertezza sul soggetto competente a rispondere.

Violazioni accertate

L’Autorità ha ritenuto accertata la condotta illecita della società per la violazione:

• dell’art. 15 GDPR, per il mancato riscontro all’istanza di accesso;
• dell’art. 12, par. 3 GDPR, per non aver risposto senza ingiustificato ritardo e comunque entro un mese;
• dell’art. 12, par. 4 GDPR, per non aver informato l’interessato dei motivi della mancata risposta e della possibilità di proporre reclamo o ricorso;
• dell’art. 157 del Codice privacy, per il mancato riscontro alle richieste di informazioni dell’Autorità.

Valutazione del Garante

Pur accertando l’illiceità, il Garante ha ritenuto la violazione "minore" ai sensi dell’art. 83, par. 2 GDPR e del considerando 148. La valutazione è stata fondata su più elementi:

• il carattere colposo della condotta;
• la situazione di fallimento/liquidazione giudiziale della società;
• l’incertezza sul soggetto tenuto a fornire il riscontro;
• il numero esiguo di interessati coinvolti, pari a uno;
• l’assenza di precedenti violazioni a carico della società;
• la scarsa utilità di una sanzione pecuniaria in un contesto di liquidazione giudiziale, anche alla luce della giurisprudenza della Corte di giustizia richiamata nel provvedimento.

Provvedimento finale e effetti

In luogo della sanzione amministrativa pecuniaria, il Garante ha applicato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy.

Sono inoltre stati disposti:

• la pubblicazione del provvedimento sul sito web del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice;
• l’annotazione della violazione nel registro interno dell’Autorità, ai sensi dell’art. 57, par. 1, lett. u), GDPR e dell’art. 17 del Regolamento del Garante n. 1/2019.

È infine indicata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni per il ricorrente residente all’estero.