Ammonimento n. 515 del 03/07/2026

Ammonimento a ReLife Recycling s.r.l. per mancato riscontro a una richiesta di accesso

Il provvedimento riguarda ReLife Recycling s.r.l., quale titolare del trattamento, e il mancato tempestivo riscontro a un’istanza di esercizio dei diritti presentata dall’interessato. Il procedimento è stato avviato a seguito di un reclamo ai sensi dell’art. 77 GDPR.

Fatto e procedimento

L’interessato aveva intrattenuto scambi di posta elettronica con la società allora denominata Benfante s.r.l., successivamente divenuta ReLife Recycling s.r.l. Con raccomandata ricevuta il 14 giugno 2023 aveva esercitato i diritti previsti dagli artt. 15-22 GDPR, lamentando anche la comunicazione a terzi di una corrispondenza e-mail.

La società non aveva fornito un riscontro entro il termine previsto. A seguito dell’intervento dell’Ufficio, nel luglio 2024 ha trasmesso all’interessato una risposta tardiva, giustificando il ritardo con riorganizzazioni dei sistemi di gestione e una conseguente svista.

L’interessato ha contestato l’incompletezza della risposta, rilevando, tra l’altro, l’assenza di informazioni sulle categorie di dati trattati, sui destinatari, sui tempi di conservazione, sull’origine dei dati e sull’esito delle richieste di limitazione e opposizione.

Violazioni contestate e accertate

L’Ufficio ha notificato alla società, il 25 marzo 2025, l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 12, paragrafi 3 e 4, GDPR.

Il Garante ha accertato che la società:

• non ha risposto alla richiesta di accesso entro un mese dal suo ricevimento, in violazione dell’art. 12, paragrafo 3, GDPR;
• non ha informato l’interessato, entro lo stesso termine, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo o ricorso giurisdizionale, in violazione dell’art. 12, paragrafo 4, GDPR;
• ha quindi violato anche il diritto di accesso disciplinato dall’art. 15 GDPR.

Nel dispositivo è inoltre richiamato l’art. 157 del Codice privacy.

Difese della società

Nelle proprie memorie del 19 aprile 2025, la società ha attribuito il ritardo a una complessa fase di riorganizzazione aziendale connessa a operazioni straordinarie, escludendo una negligenza intenzionale.

Ha inoltre sostenuto che la richiesta fosse inserita in un contesto commerciale e contenzioso più ampio e che, nonostante il ritardo, fossero state fornite tutte le informazioni rilevanti. La società ha dichiarato di aver collaborato con il Garante, rafforzato le procedure interne per la gestione delle istanze degli interessati e nominato un DPO, chiedendo l’archiviazione o, in subordine, un ammonimento anziché una sanzione pecuniaria.

Il Garante ha ritenuto tali elementi insufficienti a superare gli addebiti e non ha ravvisato i presupposti per l’archiviazione previsti dall’art. 11 del regolamento del Garante n. 1/2019.

Valutazione della gravità della violazione

La violazione è stata ritenuta illecita, ma di carattere minore ai sensi dell’art. 83, paragrafo 2, e del considerando 148 GDPR. In particolare, l’Autorità ha considerato:

• il carattere colposo della condotta;
• il coinvolgimento di un solo interessato;
• l’assenza di precedenti violazioni a carico della società;
• le procedure successivamente adottate per evitare il ripetersi di situazioni analoghe.

Il Garante ha inoltre richiamato l’art. 168 del Codice privacy, relativo alla falsità nelle dichiarazioni al Garante e all’interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri dell’Autorità.

Misura adottata

In applicazione dell’art. 58, paragrafo 2, lettera b), GDPR e dell’art. 143 del Codice privacy, il Garante ha ammonito ReLife Recycling s.r.l. quale titolare del trattamento.

Non è stata applicata una sanzione amministrativa pecuniaria. La scelta è stata motivata dalla natura minore della violazione e dal considerando 148 GDPR, secondo cui, in caso di violazione minore, può essere rivolto un ammonimento anziché imposta una sanzione pecuniaria.

Pubblicazione e annotazione

Il provvedimento dispone:

• la pubblicazione sul sito web del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice privacy e dell’art. 37 del regolamento del Garante n. 1/2019;
• l’annotazione della violazione nel registro interno dell’Autorità ai sensi dell’art. 57, paragrafo 1, lettera u), GDPR e dell’art. 17 del regolamento del Garante n. 1/2019.

Impugnazione

Il provvedimento può essere impugnato dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 1° settembre 2011, n. 150. Il termine è di trenta giorni dalla comunicazione del provvedimento, elevato a sessanta giorni se il ricorrente risiede all’estero.