Prescrizioni del Garante n. 206 del 26/03/2026

Contrader s.r.l.: illecito per mancato riscontro a una richiesta di cancellazione dei dati

Il provvedimento riguarda Contrader s.r.l. ed è stato adottato a seguito di un reclamo del candidato/interessato che lamentava la mancata risposta a una richiesta di cancellazione dei propri dati personali presentata in relazione a un contatto avvenuto per finalità di selezione del personale e organizzazione di un Test Day. Il Garante ha esaminato la condotta del titolare con riferimento agli artt. 12 e 17 GDPR.

Origine del procedimento e trattamenti esaminati

Il reclamante aveva inviato una prima istanza di cancellazione il 28/02/2023 e poi una seconda il 05/05/2023 agli indirizzi e-mail indicati dalla società nella privacy policy, senza ricevere alcun riscontro nei termini di cui all’art. 12, par. 3, GDPR. Successivamente, il 29/09/2023, aveva reiterato la richiesta tramite PEC societaria, con prova di avvenuta consegna, ma anche in questo caso non aveva ottenuto risposta tempestiva.

L’oggetto materiale del trattamento era costituito dai dati e documenti personali trasmessi dal reclamante nell’ambito del contatto con la società per l’iniziativa di selezione, comprensivi di informazioni identificative e curriculari.

Difese della società

Nel corso dell’istruttoria e del procedimento la società ha sostenuto:

• di non trattare più i dati del reclamante già da gennaio 2023;
• di aver cancellato la documentazione ricevuta;
• che le richieste del reclamante erano state formulate in modo generico e non consentivano di identificare univocamente l’interessato o il contesto della raccolta;
• che la mancata risposta era dipesa da ragioni organizzative interne.

La società ha inoltre rappresentato che la propria policy prevede la conservazione dei dati solo per il tempo necessario alle finalità perseguite e, successivamente, l’anonimizzazione irreversibile o la distruzione sicura dei dati non più necessari.

Valutazioni del Garante sulla gestione delle richieste

Il Garante ha osservato che gli indirizzi utilizzati dal reclamante per esercitare i diritti erano stati indicati dalla stessa società come contatti ufficiali nella propria informativa. Tuttavia:

• uno degli indirizzi e-mail non risultava attivo;
• l’altro non aveva fornito alcun riscontro alle richieste del 28/02/2023 e del 05/05/2023.

L’Autorità ha valorizzato il fatto che l’interessato si era rivolto a canali espressamente messi a disposizione dal titolare, rimanendo poi di fatto privo di strumenti efficaci per contattarlo.

Quanto alla richiesta del 29/09/2023, il Garante ha richiamato l’art. 12, par. 6, GDPR, secondo cui, in presenza di ragionevoli dubbi sull’identità del richiedente, il titolare può chiedere ulteriori informazioni per confermarla. Ha inoltre richiamato le Linee guida EDPB n. 1/2022 sui diritti degli interessati, osservando che il titolare resta comunque tenuto a rispondere senza ingiustificato ritardo e, se non accoglie la richiesta, a motivarne l’inottemperanza ai sensi dell’art. 12, par. 4, GDPR.

Il Garante ha quindi escluso che la generica formulazione della richiesta potesse legittimare un comportamento di totale inerzia.

Violazioni accertate

L’Autorità ha ritenuto che la condotta della società sia risultata non conforme alla disciplina in materia di protezione dei dati personali, in particolare per la violazione di:

• art. 12, par. 3, GDPR, per il mancato riscontro entro un mese;
• art. 17 GDPR, per il mancato soddisfacimento dell’istanza di cancellazione;
• art. 12, par. 4, GDPR, quanto all’omessa informazione dei motivi dell’eventuale inottemperanza, richiamato in motivazione come profilo rilevante della condotta.

Il provvedimento precisa che il trattamento, limitatamente al mancato riscontro alla richiesta di cancellazione, è da considerarsi illecito.

Esito del procedimento e misure adottate

Il Garante ha preso atto del fatto che la società, nel corso del procedimento, ha aderito all’istanza di esercizio dei diritti dell’interessato.

Nel dispositivo ha disposto:

• la pubblicazione del provvedimento sul sito internet del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Profili sanzionatori

Nel testo fornito il Garante richiama gli artt. 57, par. 1, lett. f), e 83 GDPR, ma non è riportata una sanzione pecuniaria quantificata. Il provvedimento, per come estratto, si concentra soprattutto sull’accertamento dell’illiceità e sulle misure pubblicitarie/annotative disposte dall’Autorità.