Ordinanza ingiunzione o revoca n. 123 del 26/02/2026

Dante Labs S.r.l. – sanzione per mancato riscontro a richiesta di informazioni del Garante

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti di Dante Labs S.r.l. per la violazione dell’art. 157 del Codice privacy, conseguente al mancato riscontro a una richiesta di informazioni formulata dall’Autorità nell’ambito di un reclamo relativo a un test genetico.

Origine del caso e reclamo

Il procedimento trae origine dal reclamo di un interessato che aveva acquistato un kit per effettuare un test genetico e aveva inviato il proprio campione di DNA alla società, senza ottenere il risultato del test. L’interessato lamentava inoltre di non aver ricevuto accesso ai propri dati genetici personali, né risposte alle richieste di informazioni e di rimborso.

Attività istruttoria e mancata cooperazione

L’Ufficio del Garante aveva inizialmente invitato la società ad aderire alle richieste del reclamante entro 20 giorni, senza ricevere alcun riscontro. Successivamente, ai sensi dell’art. 157 del Codice, era stata inviata una richiesta formale di informazioni per completare l’istruttoria; anche in questo caso la società non aveva risposto, pur risultando la consegna della PEC all’indirizzo indicato in visura camerale.

A fronte di tale omissione è stato avviato il procedimento ex art. 166, comma 5, del Codice, con contestazione della violazione e invito a presentare scritti difensivi o a richiedere audizione. La società ha poi depositato una memoria e si è fatta audire, scusandosi per il ritardo e riferendo di difficoltà operative connesse all’avvio di un procedimento di composizione negoziata della crisi, che avrebbe determinato un elevato flusso di PEC e ritardi nelle risposte.

Profili di merito emersi sull’assetto del trattamento

Nel corso dell’istruttoria sono emersi anche elementi di merito rilevanti sul trattamento dei dati personali connesso ai test genetici, con particolare riferimento al principio di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e ai ruoli privacy dei soggetti coinvolti.

Dalla documentazione è emerso che il titolare del trattamento potrebbe essere Dante Labs Inc., con sede negli Stati Uniti, mentre Dante Labs S.r.l. potrebbe operare quale responsabile del trattamento ai sensi dell’art. 28 GDPR, eseguendo in Italia, tramite i propri laboratori, i test genetici sui campioni inviati dalla società statunitense. Su tali aspetti il Garante ha precisato che è stata avviata un’istruttoria anche nei confronti della società americana, tuttora pendente. Il presente provvedimento definisce quindi solo i profili procedurali relativi alla mancata risposta all’Autorità.

Valutazioni del Garante sulla violazione dell’art. 157 Codice

Il Garante ha richiamato i propri poteri di controllo e indagine ai sensi degli artt. 57 e 58 GDPR, nonché l’art. 157 del Codice, che consente di richiedere informazioni e documenti a titolari, responsabili, rappresentanti, interessati e terzi. L’inosservanza di tale obbligo integra la sanzione prevista dall’art. 83, par. 5, GDPR, richiamata dall’art. 166, comma 2, del Codice.

L’Autorità ha ritenuto accertata una condotta omissiva dovuta a negligenza, sottolineando che la mancata risposta ha richiesto anche l’intervento del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza per raccogliere elementi utili all’istruttoria. Le difese della società non sono state ritenute sufficienti a superare i rilievi contestati.

Sanzione e criteri di quantificazione

La violazione dell’art. 157 del Codice rientra tra quelle punite ai sensi dell’art. 83, par. 5, GDPR, con un massimo edittale fino a 20 milioni di euro. Nel determinare l’importo, il Garante ha applicato i criteri di cui all’art. 83, par. 1 e par. 2, GDPR, richiamando anche le Linee guida 04/2022 sul calcolo delle sanzioni amministrative pecuniarie.

La gravità è stata ritenuta lieve, in assenza di dolo e alla luce della situazione di crisi aziendale rappresentata dalla società, oltre che del fatto che la risposta è stata fornita dopo la notifica dell’atto di contestazione. Sono state inoltre valorizzate le circostanze attenuanti costituite dall’assenza di precedenti provvedimenti pertinenti e dalla cooperazione successiva con l’Autorità.

Sulla base di tali elementi, la sanzione è stata quantificata in 600 euro, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato che Dante Labs S.r.l. ha violato l’art. 157 del Codice, in relazione all’art. 166, comma 2, del Codice;
• ordinato il pagamento della sanzione amministrativa pecuniaria di 600 euro;
• ingiunto il pagamento entro 30 giorni dalla notificazione, con possibilità di definizione agevolata mediante pagamento della metà dell’importo entro lo stesso termine, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante, nonché la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice e l’annotazione delle violazioni nel registro interno dell’Autorità.

È infine richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.